PS-00456-2022

1/26  Expediente N.º: EXP202201721 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en lo sucesivo la reclamante) con fecha 28/12/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en lo sucesivo el reclamado). Los motivos en que basa la reclamación son los siguientes: la afectada manifiesta que, tras extraviar su DNI y cursar la correspondiente denuncia el fecha 29/07/2021, un tercero acudió a una sucursal de la reclamada en ***LOCALIDAD.1, suplantando su identidad siéndole facilitada información bancaria, además de entregarle la totalidad del dinero que se encontraba depositado en la cuenta, sin su autorización ni consentimiento; considera que la entidad reclamada no adoptó las medidas que la diligencia exige al no haber comprobado fehacientemente su identidad (en relación con el parecido físico y la firma). Aporta: - Copia de denuncia presentada ante los mozos de escuadra. En ella se señala que el día de la solicitud del extracto y reintegro fue el 26/07/2021 y el de la retirada de fondos el 29/07/2021, en la sucursal número ***SUCURSAL.1, según indica, de informaciones recabadas del Servicio de Atención al Cliente de la entidad. - Documento bancario sin firmar (ejemplar para el cliente), de fecha 23/09/2021, en el que se indica que ha recibido una cantidad de dinero correspondiente al montante que fue dispuesto sin su consentimiento, y el compromiso de no reclamar dicha cantidad en el futuro, renunciando a cualquier derecho o acción sobre tal disposición. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 11/02/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14/02/2022 como consta en el acuse de recibo que obra en el expediente. El reclamado respondió el 23/02/2022 mediante escrito en el que no aportaba información alguna sobre la reclamación que le fue trasladada. TERCERO: Con fecha 22/03/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El reclamado respondió el 07/04/2022 aportando la siguiente información: - El 23/08/2021 la reclamante solicitó a la reclamada la devolución de un cargo en su cuenta manifestando que ella no lo había autorizado. Aportan copia del escrito presentado. - La reclamada resolvió anular el movimiento fraudulento realizada contra el saldo de la cuenta de la reclamante asumiendo el importe defraudado de 9.400 euros. - El día 22/09/2021 la reclamada contestó a la reclamante indicando que procedía a tramitar el abono correspondiente en su cuenta corriente. Aportan copia del documento. - El 25/11/2021 la reclamante presentó un nuevo escrito de reclamación a la reclamada, según se acredita mediante aportación de copia del mismo, solicitando la devolución del importe del cargo fraudulento y un 20% adicional como consecuencia de “la actuación negligente de la sucursal que incumple con la norma en materia de protección de datos, al no verificar mi identidad a efectos de prestar un consentimiento lícito para la entrega de fondos y cesión de datos de naturaleza sensible.” La reclamante indicaba en su escrito “esta actuación de la entidad financiera supone una vulneración de mi derecho a la protección de datos, por cuanto, la misma actuó sin la debida diligencia, habida cuenta que no validó correctamente mi identidad (física así como firma propia identificativa) ni adoptó las medidas de seguridad necesarias para verificar mi consentimiento para la retirada de los fondos y entrega de documentación que contiene datos de naturaleza sensible.” - El 16/12/2021 la reclamada informó a la reclamante, mediante correo electrónico, que procedía a efectuar el abono del cargo efectuado contra su cuenta y, con respecto a la solicitud de indemnización de daños y perjuicios, le informó que debía acreditar los mismos para poder ser evaluados. Aportan copia del correo electrónico. - Los representantes de la reclamada manifiestan que la reclamante no puso en conocimiento de la entidad bancaria que había perdido el 5/06/2021(casi dos meses antes de la disposición) su DNI, no siguiendo la recomendación del Banco de España para estos supuestos (aportan copia de la referida recomendación titulada “¿Has perdido o te han robado el DNI? Comunícalo a tu banco cuanto antes y denúncialo.” Los representantes de la reclamada manifiestan que alertarles de la pérdida del DNI hubiera dado lugar a que la activación del protocolo del que dispone la red de oficinas en estos supuestos. A estos efectos, aportan copia del referido protocolo, que las oficinas deben seguir cuando un cliente les comunica el hurto o extravío del documento identificativo. En el protocolo se comprueba que se indica que “en el caso de que el cliente comunique el hurto o extravío de su documento identificativo, es obligatorio añadir esa información en el teleproceso mediante bloqueo en cuenta (de texto libre) incluyendo el mensaje «ATENCION: documento robado/extraviado», restringiendo la operativa 0001 Reintegros de manera que sirva de alerta para la Red.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 Realizado requerimiento de información, el reclamado respondió el 30/05/2022 con la siguiente información y documentación: - Se ha solicitado acreditación documental del procedimiento seguido para la identificación de las personas que solicitan trámites presencialmente en las oficinas, donde consten todos los controles establecidos sobre la acreditación de la identidad de los solicitantes, y copia de las instrucciones facilitadas a los gestores de los trámites a este respecto. En particular se ha pedido aportar el procedimiento de identificación para los trámites de atención de solicitudes de información y retirada de efectivo presenciales en oficina. La parte reclamada aporta copia del procedimiento (norma interna) de disposiciones de efectivo. La norma interna está a disposición de los empleados de la entidad en la intranet. Han declarado además que comunican diariamente los cambios o actualizaciones que puedan afectar a las normas a través de correo electrónico, aportando copia de la imagen de un correo como ejemplo. También declaran que los empleados disponen de un portal de consultas, aportando como ejemplo impresión de una pregunta sobre identificación del cliente se incluye un enlace a la referida norma interna. Aportan copia de la referida norma interna, titulada “Disposiciones de efectivo contra cuentas personales dentro del ámbito de atención universal”, destacando los siguientes aspectos: “- En el caso de personas físicas, para la comprobación de la firma será suficiente el cotejo con la firma digitalizada del cliente (siempre que se disponga de la misma). - Atención Universal: Los clientes podrán acudir a cualquier oficina de la Red […] para realizar sus operaciones en Caja y podremos atenderles sin necesidad de ser la oficina propietaria del contrato. Para ello será muy importante recordar que para verificar la firma del cliente, debemos tener digitalizado el documento de identificación y digitalizada la firma, no siendo necesario en este caso, solicitar la verificación a la oficina propietaria. […] - Los únicos documentos válidos para una correcta identificación son: DNI español (NIF), pasaporte, […] - Exclusivamente serán válidos los originales, nunca las fotocopias, y solamente si están en vigor. En ningún caso se aceptarán documentos caducados. - Tanto el antiguo como el actual modelo español de permiso de circulación (también llamado carné de conducir) NO son válidos como documentos identificativos. […] Cómo identificar correctamente: Determinar si la persona que porta el documento es la misma que aparece en la fotografía del documento identificativo. Verificar que el documento presentado es válido, que es original (nunca fotocopia) y que no esté caducado. Observar si pudiera existir alguna manipulación o alteración sencilla (fundamental el uso de la lámpara de luz ultravioleta) Cualquier documento que presente anomalías en su formato como consecuencia de una posible manipulación debe inducir a sospecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 Observar al propio titular físicamente y determinar si su aspecto y edad coincide con el de la fotografía y la fecha de nacimiento que aparecen en el documento. Finalmente, utilizar obligatoriamente la lámpara de luz ultravioleta para la validación del documento identificativo.” - Se ha solicitado impresión que acredite el detalle de los trámites realizados a resultas de la solicitud de información sobre los datos y productos bancarios de la reclamante efectuada el 26/07/2021 en oficina, así como la información y documentos que fueron facilitados al solicitante, y documentación acreditativa del detalle de las comprobaciones concretas sobre la identidad del solicitante que se realizaron en este caso. La parte reclamada no ha aportado documentación sobre los trámites realizados ni sobre la información y documentos que fueron facilitados al solicitante, ni de la acreditación documental de las comprobaciones sobre la identidad realizadas en el caso concreto. - Se ha solicitado impresión que acredite el detalle de los trámites realizados a resultas de la solicitud de reintegro efectuada el 29/07/2021 (oficina ***SUCURSAL.1), así como documentación acreditativa del detalle de las comprobaciones concretas sobre la identidad del solicitante que se realizaron en este caso. Sobre las comprobaciones realizadas sobre la identidad los representantes de la parte reclamada indican que “En el supuesto que se analiza y de conformidad con la citada norma, la oficina pagadera no realizó una correcta identificación de la persona que dispuso, ya que el reintegro lo llevó a cabo una persona distinta al titular con la documentación robada al cliente”. Aportan justificante de la solicitud de disposición digitalizado con la firma del solicitante, firma que consiste en el nombre y el primer apellido de la reclamante. Aportan captura de la copia del DNI de la reclamante con su firma (documento digitalizado) indicando que es sobre el que se realiza la verificación previa a la disposición de efectivo (indican que el DNI se encuentra actualizado ya que se ha aportado copia del expedido con motivo del incidente). Indican que como medida de seguridad una vez detectado el fraude documental la oficina recibe las siguientes instrucciones: “Deben digitalizar la versión actual de su documento de identidad, recomendamos mantener el bloqueo hasta que, bien lo recupere o deje de estar vigente”. QUINTO: Con fecha 25/11/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.

1. a)del citado RGPD y del artículo 32.1 del RGPD, tipificada en el artículo 83.4.
2. a)del citado RGPD. SEXTO: Notificado el acuerdo de inicio, el reclamado mediante escrito de 12/12/2022 solicitó ampliación de plazo para formular alegaciones, que le fue concedido por el instructor del procedimiento. El 23/12/2022 el reclamado presento escrito de alegaciones manifestando, en síntesis: que la imputación dirigida contra el reclamado y su fundamentación jurídica es errónea al no haberse vulnerado el artículo 6.1 del RGPD y con respecto a la vulneración del articulo 32.1 es igualmente errónea la interpretación que se realiza, sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 hacer referencia alguna a los procedimientos establecidos por el reclamado para garantizar la validez de las disposiciones de efectivo ni la jurisprudencia existente; la existencia de concurso medial; que en la imputación del artículo 32 del RGPD no se tiene en cuenta la sentencia del Tribunal Supremo de 15 de febrero de 2022 ni la diligencia desplegada por el reclamado. Posteriormente se aporta copia del audio de la llamada efectuada al Servicio Atención al Cliente por la reclamante. SEPTIMO: Con fecha/ 19/04/2023, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. -Solicitar al reclamado: Protocolo, Procedimiento o Instrucciones, etc., establecidas por la entidad para combatir y prevenir el fraude o estafa como en el caso presente, así como las medidas de seguridad o dictámenes para casos de fraude y prevención de fraude y para proceder a una correcta identificación de la clientela. Acreditación de que dicha regulación junto a las medidas de carácter técnico u organizativas eran conocidas por la oficina donde se produjo la incidencia y eran conocidas por sus empleados. El reclamado en fecha 09/05/2023 dio respuesta a la prueba practica cuyo contenido obra en el expediente. OCTAVO: Con fecha 29/06/2023 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara al reclamado por infracción del artículo 6.1 y 32.1 del RGPD, tipificadas en el artículo 83.5.
3. a)y artículo 83.4.
4. a)del citado RGPD, con sanción de 50.000 € (cincuenta mil euros) y 20.000 € (veinte mil euros), respectivamente. La citada Propuesta fue notificada al reclamado el 03/07/2023 dando respuesta a las alegaciones esgrimidas en el escrito presentado al acuerdo de inicio. Transcurrido el plazo legalmente previsto, el reclamado presento escrito de alegaciones el 25/07/2023 reiterando los argumentos esgrimidos a lo largo del procedimiento: que no existía infracción de los artículos 6.1 y 32.1 del RGPD y la existencia de concurso medial de infracciones, solicitando el archivo del procedimiento. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 PRIMERO. Con fecha 10/12/2020 tiene entrada en la AEPD escrito de la reclamante manifestando que ha sido objeto de suplantación de identidad; tras extraviar su DNI y cursar la correspondiente denuncia, un tercero acudió a una sucursal de su entidad bancaria siéndole entregada la totalidad del dinero que se encontraba depositado en su cuenta, sin su autorización ni consentimiento, considerando que la entidad reclamada no adoptó las medidas correspondientes al no comprobar fehacientemente su identidad. SEGUNDO. La reclamante ha aportado copia de la denuncia de 16/08/2021 ante los mozos de escuadra, numero de diligencia ***DILIGENCIA.1 at Usccorts. En la misma, la reclamante, manifiesta: “(…) Que ha estado de vacaciones, fuera en Europa… Que, al volver a territorio nacional, abrió la aplicación móvil de su entidad bancaria y observó que habían hecho un reintegro, en ventanilla y en persona de 9400 euros, sin su consentimiento ni su autorización. Que la denunciante manifiesta que, dicha cantidad de dinero, fue sacada de la entidad BBVA, situada en LOCALIDAD.2 (***LOCALIDAD.1), concretamente de la oficina ***SUCURSAL.1. Que la Sra. A.A.A. contacto con Atención al Cliente de su entidad bancaria y la informaron de que se había subido una nueva documentación a su perfil personal, de la cual, ella, no ha realizado ni tiene constancia alguna. Qué atención al cliente le facilito dato relativos al hecho, tales como el día en que se solicitó extracto y reintegro y el día en el cual retiraron el dinero. Que el día de la solicitud fue el día 26/07/2021 y el día que retiraron el dinero fue el día 29/07/2021, ambos realizados en persona en la entidad bancaria de LOCALIDAD.2., Que la denunciantes desconoce quien, como y de qué manera han podido acceder a sus datos personales y, especialmente, como han sido capaces de poder sacar dinero, en persona, de la entidad bancaria si estos hacen, supuestamente, la comprobación de la identidad. (…)” TERCERO. La reclamante aporta copia de la denuncia realizada en Italia, estación de Venecia-San Marcos en relación con la pérdida de su DNI. CUARTO. El reclamado ha aportado escrito firmado por la reclamante, sin fecha, en el que solicita la devolución de los sustraído en su cuenta. QUINTO. El reclamado en escrito de 30/05/2022 ha manifestado que: “En el supuesto que se analiza y de conformidad con la citada norma, la oficina pagadera no realizó una correcta identificación de la persona que dispuso, ya que el reintegro lo llevó a cabo una persona distinta al titular con la documentación robada al cliente”, y se aporta el justificante de la solicitud de disposición cuya firma no coincide con la que figura en el DNI de la reclamante. Asimismo, señalaba que “…ha resuelto anular el movimiento de la disposición fraudulenta realizada contra el saldo de la cuenta corriente de la reclamante asumiendo por tanto BBVA el importe defraudado de 9.400 euros…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 SEXTO. Consta aportado escrito de fecha 23/08/2021 en respuesta a la solicitud de la reclamante solicitando la devolución del importe del cargo fraudulento en su cuenta, en el que se indica que: “La solicitud se está gestionando con el número de referencia ***REFERENCIA.1, indicando este número podrá realizar cualquier consulta al respecto”, y la respuesta ofrecida por el reclamado el 22/09/2021 señalando que: ”Hemos recibido el escrito que nos presentó, con fecha 23 de agosto de 2021. Su número de referencia es ***REFERENCIA.1. El objeto de la reclamación, expuesto en su comunicación, es solicitar la devolución del dinero (9400 €) que le fue sustraído desde una de las oficinas de BBVA, sin su consentimiento ni autorización, tal y como se explica en la denuncia que adjunta a su escrito. En este sentido, tras haber revisado los hechos que usted nos describe y la documentación recabada al respecto, le informamos que hemos dado traslado de este asunto a los departamentos oportunos de nuestra entidad que están encargados de analizar y resolver los hechos que nos detalla en su escrito. Una vez revisado su caso y realizadas todas las comprobaciones necesarias nos informan que se ha atendido su solicitud de manera favorable, por lo que en los próximos días se va a proceder a tramitar el abono en su cuenta del importe objeto de su reclamación. (…)” SEPTIMO. Como se señalaba en el hecho quinto consta aportado documento de BBVA Disposición en Efectivo, de 29/07/2021 contra la Cuenta: ES00 0000 0000 0000 0000 0000, perteneciente a la reclamante en el que se señala: He recibido del Banco Bilbao Vizcaya Argentaria S.A., con cargo a la cuenta indicada, la cantidad de: 9.400,00 EUROS. En el pie del documento aparece la Firma del Interviniente, cuya rubrica no coincide con la de la reclamante. OCTAVO. Consta que la reclamante envió al reclamado el 25/11/2021 una nueva reclamación solicitando junto a la devolución del importe del cargo fraudulento, el 20% adicional como consecuencia de “la actuación negligente de la sucursal que incumple con la norma en materia de protección de datos, al no verificar mi identidad a efectos de prestar un consentimiento lícito para la entrega de fondos y cesión de datos de naturaleza sensible.” El reclamado respondía el 12/12/2021 que: “…Por lo que respecta a su solicitud de compensación por resarcimiento de daños y perjuicios causados, le informamos que es carga del reclamante probar los perjuicios alegados, mediante la documentación oportuna, que acredite el daño y la relación de causalidad con la acción u omisión del Banco. Hay que tener en cuenta que para evaluar los daños y perjuicios causados, no es suficiente que estos se hayan causado efectivamente sino que es necesario también que hayan provocado un daño o daños y que éstos puedan probarse por medios objetivos y sean cuantificables sobre bases también objetivas. La acreditación de estos extremos corresponde a la persona que los alega y, en muchas ocasiones, exigen el desarrollo de una fase probatoria que solamente en un procedimiento judicial puede desarrollarse…” NOVENO. Consta portado por el reclamado la respuesta ofrecida el 21/02/2022 señalando que: “Nos dirigimos a usted con relación al nuevo escrito que envió a esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 entidad, a través de la Agencia Española de Protección de Datos, sobre la cantidad sustraída de su cuenta en una oficina de BBVA sin su consentimiento y la vulneración de su derecho a la protección de sus datos. A este respecto, le informamos que analizados de nuevo los hechos objeto de su reclamación, las condiciones concretas de las obligaciones asumidas por las partes y sus particulares circunstancias, esta Entidad considera adecuada la respuesta que se le facilitó a la reclamación ***RECLAMACIÓN.1, cuya copia adjuntamos, por lo que nos ratificamos en la misma. Asimismo, hemos podido comprobar que con fecha 16 de diciembre de 2022 fue abonada en su cuenta la cantidad reclamada por usted, por importe de 9.400 €. No obstante, tal y como le informábamos en nuestra respuesta anterior, si usted no está conforme con esta resolución tiene la facultad de acudir al Departamento de Conducta de Entidades de Banco de España desde la recepción de esta carta…“ DECIMO. La reclamante aporta copia de documento emitido por BBVA, de 23/09/2021 sin firma, en el que se señala que a la reclamante se le ha abonado la cantidad de 9.400 euros comprometiéndose a no reclamar cantidad alguna a BBVA en el futuro, renunciando a cualquiera acción. UNDECIMO. El reclamado ha aportado copia del audio de la llamada realizada al servicio de atención al cliente del reclamado con ocasión de la retirada de fondos de su cuenta. DUODECIMO. El reclamado ha aportado documentos relativos a las Disposiciones de efectivo contra cuentas personales dentro del ámbito de atención universal en el que se recogen las instrucciones que regulan las disposiciones contra cuentas corrientes, de crédito y libretas de ahorro, así como emisiones de cheques bancarios y transferencias de efectivo; para la prevención del Fraude y la Estafa en el que se recogen las instrucciones para la prevención del fraude así como los procedimientos específicos según la modalidad del fraude, dictámenes de seguridad y otras consideraciones sobre fraude y los criterios y pautas de actuación para la Identificación de la Clientela. DECIMOTERCERO. El reclamado ha aportado documentos Fraude por disposiciones de efectivo con DNIs robados y Documentos identificativos falsos en los que se describe el modus operandi y cómo actuar en caso de identificar dichas operativas. DECIMOCUARTO. El reclamado ha aportado correos electrónicos de 25/01/2021 remitidos a las oficinas entre las que se halla donde se produjo la incidencia, asunto: Alerta seguridad 0121-Enero-2021 Fraude por disposiciones de efectivo con DNI robados (importante difusión a todos los compañeros de la oficina). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Los hechos denunciados se materializan en la suplantación de la identidad de la reclamante por un tercero que acudió a una sucursal de la entidad reclamada, siéndole facilitada información bancaria y la entrega de la totalidad del dinero que se encontraba depositado en la cuenta sin su autorización ni consentimiento, considerando que se ha vulnerado la normativa en materia de protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
5. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” En primer lugar, el artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26
11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. III 1. El tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 De conformidad con lo señalado en el artículo 6.1, no consta acreditada base de legitimación alguna de las contempladas en el citado precepto para el tratamiento de los datos de la reclamante y cuya personalidad fuera suplantada para vaciar la cuenta de la que era titular, sin que el reclamado desplegara la diligencia que era necesaria para evitar incidencias como la que dio lugar a la reclamación y por ende al procedimiento presente. 2. En el presente caso, se han utilizado los datos de la reclamante para llevar a cabo una operación, disposición del efectivo contenido en una cuenta, por un tercero que no era el titular de la misma sino un suplantador de la identidad de la reclamante y aunque, en términos generales la entidad crediticia tiene legitimación para tratar los datos de la afectada en virtud del contrato suscrito entre ambos, para esta operación concreta no la tenía puesto que quien estaba haciendo uso de los datos era una persona ajena a la relación contractual teniendo que haber verificado la fotografía y la firma del documento que se le presentaba, comprobar que el aspecto del titular de dicho documento y la persona que se tenía enfrente coincidían. La reclamante ha manifestado desconocer quien fue la persona que acudió a la sucursal de su entidad bancaria siéndole entregada la totalidad del dinero que se encontraba depositado en su cuenta, sin su autorización ni consentimiento y sin adoptar las medidas correspondientes al no comprobar fehacientemente su identidad. Hay que señalar que, como figura en los hechos probados, el propio reclamado ha manifestado en su escrito de respuesta al requerimiento informativo de la Agencia de 07/04/2021 que “En el supuesto que se analiza y de conformidad con la citada norma, la oficina pagadera no realizó una correcta identificación de la persona que dispuso, ya que el reintegro lo llevó a cabo una persona distinta al titular con la documentación robada al cliente”. Además, el propio reclamado ha aportado el justificante de la solicitud de disposición cuya firma no coincide con la que figura en el DNI de la reclamante. A mayor abundamiento señala que “…ha resuelto anular el movimiento de la disposición fraudulenta realizada contra el saldo de la cuenta corriente de la reclamante asumiendo por tanto BBVA el importe defraudado de 9.400 euros…” (los subrayados corresponden a la AEPD. Por tanto, no se trata como alega el reclamado en la respuesta a la Propuesta de Resolución de un error invencible en la identificación del portador del DNI de la reclamante sino de una grave falta de negligencia que hubiera sido vencida si se hubieran atendido correctamente los procedimientos y protocolos implantados, cotejando y verificando correctamente tanto la fotografía como la firma del documento que se le presentaba junto al de Disposición en Efectivo, y que no se compadece con lo señalado por el propio reclamado señalando que no se había realizado una correcta identificación de la persona que dispuso. Por otra parte, huelga o es inútil señalar que el estado de la técnica permitiría quizás la adopción de medidas identificativas más efectivas como las biométricas, pero que estas son consideradas ilícitas por la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 De conformidad con lo que antecede, se estima que el reclamado sería responsable de la infracción del RGPD: la vulneración del artículo 6.1, infracción tipificada en su artículo 83.5.a). IV En segundo lugar, el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
13. a)la seudonimización y el cifrado de datos personales;
14. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
15. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
16. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
17. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26
18. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
19. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…)” V 1. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. La documentación obrante en el expediente evidencia que el reclamado ha vulnerado el artículo 32 del RGPD, al no tener implantadas y no utilizar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo en este tratamiento. Esto es independiente de que, en este caso concreto, además un tercero haya podido suplantar la identidad del reclamante al serle facilitada no solo la totalidad del dinero que existía en cuenta, sino información relativa a la misma. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “