← España

PS-00615-2021

1/24  Expediente N.º: PS/00615/2021 IMI Reference: A56ID 173563- Case Register 182067 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 19 de diciembre de 2020 interpuso reclamación ante la autoridad alemana de protección de datos de Brandenburgo. La reclamación se dirige contra OPEN BANK, S.A., con NIF A28021079 (en adelante, OPENBANK). Los motivos en que basa la reclamación son los siguientes: La parte reclamante abrió una cuenta bancaria en el sitio web https://www.openbank.de (cuyo responsable es OPENBANK) enviando la documentación necesaria para abrirla por correo electrónico. Después de esto, envió una solicitud para ejercer su derecho de acceso a sus datos por correo electrónico. A esta petición de la parte reclamante, le contestaron en un correo electrónico en el que le solicitaban una copia de su documento de identidad para poder atender su solicitud. Entonces, la parte reclamante, aduciendo que el correo postal daba más seguridad, envió una carta certificada a la dirección de OPENBANK en Madrid con una copia de su documento de identidad y dando como referencia su dirección de correo electrónico y su número de cuenta IBAN. Tras esto, la parte reclamante manifiesta que no ha recibido contestación a su solicitud. La primera solicitud de acceso se realizó el 13 de noviembre de 2020, y el envío de la carta certificada con la copia del DNI está fechado el día 30 de noviembre de

  1. Junto con la reclamación aporta (en idioma alemán): - Copia del contrato con fecha de firma del 13 de noviembre de 2020 y con apariencia de firma de la parte reclamante y de dos representantes o apoderados de OPENBANK en el que aparecen los siguientes datos relacionados con la parte reclamante: IBAN, número de documento de identidad, nombre y apellidos, firma manuscrita, nacionalidad, fecha de nacimiento, actividad profesional, dirección de correo electrónico, número de móvil y domicilio. - Copia de Declaración de Residencia Fiscal que contiene los datos de residencia y el identificador fiscal de la parte reclamante fechada el 13 de noviembre de
  2. - Impresión de pantalla de un correo de fecha de 30 de noviembre de 2020 y remitente datenschutz@openbank.com en el que, como contestación a un correo de la parte reclamante de fecha 18 de noviembre de 2020, se le solicita una copia del anverso y reverso de su documento de identidad con el objeto de identificarle para poder darle acceso a sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, en fecha 6 de enero de 2021, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) la citada reclamación. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que OPENBANK tiene su sede social y establecimiento único en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridad de control interesada”, además de la autoridad alemana de protección de datos de Brandenburgo, las autoridades de Luxemburgo y Portugal y la autoridad alemana de Berlín, todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en dicho Estado miembro resultan afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. También se declararon autoridades interesadas las autoridades alemanas de Baden-Wurttemberg, Hesse y Baja Sajonia, en virtud de que los interesados que residen en dichos Estados miembros es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: El 23 de febrero de 2021 la AEPD solicita, a través del Sistema IMI, a la autoridad alemana de protección de datos de Brandenburgo información adicional sobre la reclamación, al menos la traducción de la reclamación, la solicitud del derecho de acceso y la copia del supuesto correo electrónico sin encriptar recibido. La autoridad de protección de datos de Brandenburgo compartió a través de IMI, el día 31 de agosto de 2021, la siguiente documentación: copia de correo electrónico remitido por la parte reclamante, en contestación a un requerimiento de información, en el que aporta la siguiente documentación: - Declaración de la parte reclamante en la que indica que la forma de pedirle identificarse no le parece apropiada debido a que está enviando la petición desde su dirección de correo electrónico, que OPENBANK ya conoce porque la declaró al abrir su cuenta bancaria, y entiende que no sería necesaria una identificación extra. - Impresión de pantalla de los datos personales de la cuenta de OPENBANK de la parte reclamante (de acuerdo con lo que declara la parte reclamante) en la que se puede observar que la cuenta de correo electrónico es la misma desde la que la parte reclamante envió la petición de acceso a sus datos (de acuerdo con la impresión de pantalla del correo electrónico aportado por la parte reclamante junto con su reclamación). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 - Copia de la carta, con apariencia de sello (código de barras bidimensional) de Deutsche Post con fecha del 30 de noviembre de 2020, dirigida a “Open Bank S.A. en Paseo de la Castellana, 24 – 28046 – Madrid (SPANIEN)”, con número ***REFERENCIA.1, en la que indica que ha escogido enviar los datos por correo postal por motivos de seguridad y da como referencia su dirección de correo electrónico y su IBAN. A esta copia, adjunta copia del documento de identidad de la parte reclamante por las dos caras. CUARTO: Con fecha 6 de octubre de 2021 de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Contestación a requerimiento de información presentada en representación de OPENBANK con registro de entrada O00007128e2100044804, con entrada en la AEPD el 2 de noviembre de 2021, en la que se aporta, entre otra, la siguiente información:
  3. Manifestación de que OPENBANK ha solicitado copia del DNI o documento equivalente porque considera que se tiene que reforzar la identificación cuando se solicita el acceso a datos por correo electrónico; y justifican esta decisión indicando que han seguido la recomendación de solicitar una copia del DNI o documento equivalente en los casos en que pueda haber dudas sobre la identidad de la persona solicitante; recomendación que aparece en el formulario para el ejercicio de derechos publicado por la AEPD y en las preguntas frecuentes de su sitio web, y en las preguntas frecuentes del sitio web de la Autoridad de Protección de Datos de Baviera (Bayerisches Landesamt für Datenschutzaufsicht).
  4. Manifestación de que la parte reclamante firmó el contrato electrónicamente mediante un código de autenticación SMS-OTP el día 13 de noviembre de
  6. Manifestación de que, el 13 de noviembre de 2020, reciben un correo electrónico en nombre de la parte reclamante, desde una dirección electrónica distinta a la registrada, en el que se indica que no considera que el correo electrónico sea un medio seguro y solicita que habiliten un espacio seguro para cargar la documentación en el sitio web de la reclamada; y se indica que no aceptará que se le grabe telefónicamente.
  7. Manifestación de que, el día 13 de diciembre de 2020, reciben un correo electrónico de la parte reclamante en el que indica que ha realizado una solicitud de acceso a sus datos personales por fax. Y se aporta copia de este correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24
  8. Manifestación de que, el 11 de enero de 2021, debido al fax recibido en nombre de la parte reclamante, se envió un correo electrónico a la parte reclamante indicando las maneras de poder acceder a sus datos. Y se aporta una copia de este correo electrónico enviado desde incidencias@openbank.es hacia el correo electrónico de la parte reclamante con el siguiente contenido en los idiomas español y alemán: Estimado Sr. A.A.A.: En relación a su reclamación con número ***REFERENCIA.2 referente a la documentación para acogerse a los derechos de acceso, queremos informarle de que informamos que podrá ejercer su derecho de acceso por los siguientes medios: - En la parte privada de la web, una vez identificado con su Documento de Identidad y clave de acceso, accediendo a la sección “Datos Personales” de tu perfil, en la opción “Derecho de Acceso y Portabilidad” - Contactando telefónicamente con el teléfono +49

(0)69 945 189 175, e identificándose con su clave de firma. - Enviando la solicitud por correo electrónico desde la dirección de correo electrónico que tenemos registrada en nuestra base de datos a datenschutz@openbank.com, adjuntando en este una copia de su documento de identidad por ambas caras - Enviando la solicitud por correo postal con firma manuscrita y adjuntando igualmente una fotocopia de su documento de identidad. Esta carta la puede enviar a: Open Bank S.A., Privacy Paseo de la Castellana 24, 28046, Madrid Sin otro particular, aprovechamos la ocasión para saludarle muy atentamente. Atentamente Servicio de Incidencias Para su conveniencia, Openbank le facilita una copia de este escrito traducida a su lengua local, a efectos informativos en cuenta que la versión oficial de la respuesta de este Servicio de Reclamaciones y Atención al Cliente es la presente carta, que figura en idioma español y que prevalece, en caso de discrepancia, sobre la traducción a lengua local: Sehr geehrter Herr A.A.A.: In Bezug auf Ihre Beschwerde mit der Nummer ***REFERENCIA.2 bezüglich der Dokumentation zur Ausübung des Auskunftsrechts möchten wir Sie darüber informieren, dass Sie ihr Auskunftsrecht auf folgende Weise ausüben können: - im Kundenbereich, nachdem Sie sich mit Ihrem Personalausweis und Ihrem Passwort identifiziert haben, indem Sie in Ihrem Profil den Abschnitt "Persönliche Daten" unter der Option "Recht auf Zugang und Übertragbarkeit" aufrufen. - Kontaktieren Sie uns telefonisch unter +49
(0)69 945 189 175, und identifizieren Sie sich mit Ihrem Signaturschlüssel. - Senden Sie den Antrag per E-Mail, von der in unserer Datenbank registrierten E-MailAdresse an datenschutz@openbank.com und fügen Sie eine Kopie beider Seiten Ihres Personalausweises bei. - Senden Sie den Antrag per Post mit handschriftlicher Unterschrift und fügen Sie zusätzlich eine Fotokopie Ihres Personalausweises bei. Dieser Brief kann gesendet werden an: Open Bank S.A., Privacy Paseo de la Castellana 24, 28046, Madrid (ESPAÑA) Sollten Sie diesbezüglich weitere Fragen haben, stehen wir Ihnen gerne zur Verfügung. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 Mit freundlichen Grüßen Reklamationsdienst 6. Manifestación de que, como consecuencia de esta reclamación, al haber sido identificada la parte reclamante a través de la autoridad de supervisión, se ha puesto a disposición de la parte reclamante sus datos en su área privada del sitio web de OPENBANK y se le ha comunicado por correo electrónico. Y se aporta copia de un correo electrónico en alemán con fecha del 29/10/2021 enviado desde datenschutz@openbank.com a la dirección de correo electrónico de la parte reclamante en el que se le indica, entre otras informaciones, que dispone de la información almacenada sobre su persona en la sección Datos Personales (“Persönliche Daten”) de su perfil del área de clientes del sitio web de Openbank. La existencia del correo electrónico de 13 de noviembre de 2020 de la parte reclamante, desde una dirección electrónica distinta a la registrada, en el que se indica que no considera que el correo electrónico sea un medio seguro y solicita que habiliten un espacio seguro para cargar la documentación en el sitio web de OPENBANK e indica que no aceptará que se le grabe telefónicamente, no ha podido ser constatado después de realizadas las actuaciones de investigación al no haber sido aportado por ninguna de las partes. SEXTO: Con fecha 3 de enero de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión, que se notificó a OPENBANK conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 4 de enero de 2022, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 28 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OPENBANK a fin de dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indica que tiene un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a OPENBANK conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 29 de junio de 2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 OCTAVO: Con fecha 13 de julio de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de OPENBANK en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: Con fecha 18 de noviembre de 2020, se recibe por OPENBANK un correo electrónico desde la dirección ***EMAIL.1 por el que la parte reclamante manifiesta su disconformidad con el envío por dicho canal de una copia del documento de suscripción de contratos y solicita el ejercicio de su derecho de acceso al amparo de lo dispuesto en el artículo 15 del RGPD. Con fecha 30 de noviembre de 2020, se da respuesta a la parte reclamante indicando que, para solicitar información sobre sus datos personales, es necesario identificarse previamente mediante el envío de una copia de su documento de identidad desde la dirección de correo electrónica registrada en la base de datos de la Entidad. El 13 de diciembre de 2020, OPENBANK recibe un nuevo correo electrónico desde ***EMAIL.1, por el que la parte reclamante informa que ha solicitado su derecho de acceso a través de una carta certificada. OPENBANK manifiesta que, en dicha comunicación, la parte reclamante no adjunta evidencias del envío de la carta certificada a la que hace referencia, sino que adjunta copia de un fax remitido con fecha 30 de noviembre de 2020, solicitando el ejercicio del derecho de acceso sin aportar documentación acreditativa de su identidad de conformidad con lo solicitado. Además, en dicha comunicación, la parte reclamante indica que no puede hacer la solicitud por el canal telefónico porque la llamada se interrumpe si no presta su consentimiento para la grabación de la llamada y muestra su disconformidad con ser identificado a través de su clave de acceso la Banca Online mediante una llamada grabada. Con fecha 11 de enero de 2020, el servicio de incidencias de OPENBANK da respuesta a la parte reclamante informando de los diferentes canales que tiene a su disposición para el ejercicio del derecho de acceso, toda vez que la identidad de la parte reclamante sigue sin estar acreditada. En este sentido, se informa que los canales son los siguientes: • En la parte privada de la web, una vez identificado con su Documento de Identidad y clave de acceso, accediendo a la sección “Datos Personales” de su perfil, en la opción “Derecho de Acceso y Portabilidad”. • Contactando telefónicamente con el teléfono +49
(0)69 945 189 175, e identificándose con su clave de firma. • Enviando la solicitud por correo electrónico desde la dirección de correo electrónico que tienen registrada en su base de datos a datenschutz@openbank.com, adjuntando una copia de su documento de identidad por ambas caras. • Enviando la solicitud por correo postal con firma manuscrita y adjuntando igualmente una fotocopia de su documento de identidad. Esta carta la puede enviar a: Open Bank S.A., Att: Privacy. Paseo de la Castellana 24, 28046, Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 Se adjunta como Anexo I: Correos electrónicos de los días 18 de noviembre de 2020, 30 de noviembre de 2020, 13 de diciembre de 2020 y 11 de enero de 2021, tanto originales como traducción al idioma español. Posteriormente a esta comunicación, y sin haber recibido documentación necesaria para poder acreditar la identidad de la parte reclamante por ningún canal, el día 20 de octubre de 2021 Openbank recibe un requerimiento de información de la AEPD relativo a la solicitud del derecho de acceso de la parte reclamante al que se da respuesta con fecha 29 de octubre de 2021 donde aporta, entre otras evidencias, copia de la respuesta enviada a la parte reclamante donde se informa que Openbank ha puesto a su disposición su derecho de acceso toda vez que se delegaron las funciones de identificación en la AEPD. Asimismo, se vuelve a informar a la parte reclamante de los canales a través de los cuales los interesados pueden ejercer sus derechos en materia de protección de datos, teniendo en cuenta que, a la fecha de respuesta Openbank ha trasladado su establecimiento principal a Plaza de Santa Bárbara 2, 28004 Madrid (España). Se adjunta como Anexo II: Correo electrónico enviado por Openbank el 29 de octubre de 2021. Como consecuencia de dicho requerimiento, se ha recibido una nueva comunicación con fecha 29 de junio de 2022, donde, entre otra información, se indica que en fecha 31 de agosto de 2021, esta Agencia ha recibido de la autoridad de protección de datos alemana de Brandenburgo, entre otra documentación, “una copia de la carta, con apariencia de sello (código de barras bidimensional) de Deutsche Post con fecha del 30 de noviembre de 2020, dirigida a “Open Bank S.A. en Paseo de la Castellana, 24 – 28046 – Madrid (SPANIEN), en la que indica que ha escogido enviar los datos por correo postal por motivos de seguridad y da como referencia su dirección de correo electrónico y su IBAN. A esta copia, adjunta copia del documento de identidad de la parte reclamante por las dos caras”. En este sentido, se informa que la estafeta de Openbank ha confirmado que no tiene constancia de haber recibido una carta cuyo remitente sea la parte reclamante. Tampoco se ha aportado por la parte reclamante acuse de recibo justificativo de la entrega, ni se ha recibido la evidencia aportada por la parte reclamante en la reclamación interpuesta y por estos motivos Openbank no ha dado respuesta a dicha carta. Como prueba de esto se ha solicitado a estafeta los ingresos recibidos desde la fecha de la reclamación hasta la fecha del inicio de este expediente. Se adjunta como Anexo III: Relación de comunicaciones recibidas en estafeta cuyo origen es Alemania. OPENBANK destaca que, sin perjuicio de que atiende los ejercicios de derechos por cualquier canal que se le lo solicite, ofrece a sus clientes la posibilidad de ejercer el derecho de acceso de forma automatizada directamente desde el área privada de cliente. De esta forma, la autenticación del usuario se realizará con la clave de acceso al área privada (log
  1. in)sin que sea necesario que los Interesados aporten documentación adicional. Así se informa en su Política de privacidad que se aporta como Anexo IV. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 A continuación, se comparte el detalle de los pasos a seguir para solicitar el derecho de acceso de forma automatizada y autónoma desde el área privada de cliente. A la luz de todo lo anterior, OPENBANK considera que no se ha vulnerado el artículo 15 del RGPD toda vez que el derecho de acceso ha sido puesto a disposición de la parte reclamante una vez que se ha podido acreditar suficientemente su identidad y que Openbank ofrece la posibilidad de que los interesados ejerzan su derecho de acceso sin necesidad de aportar documentación adicional, como el canal telefónico donde la identificación se realiza con claves así como a través dela web en el área privada de cliente, tal y como se informa en la Política de Privacidad que se remite a los Interesados tras aceptar la misma en el proceso de alta como clientes de la Entidad y que está publicada en su página web. Por tanto, teniendo en cuenta que en ningún momento se buscó entorpecer el ejercicio del derecho de acceso de la parte reclamante sino garantizar debidamente su identidad para evitar cualquier brecha de confidencialidad en el tratamiento de sus datos que pudiera provocar el acceso a los datos personales de la parte reclamante por un tercero no identificado, requiere a esta Agencia que se resuelva el procedimiento administrativo sin imponer sanción contra Openbank toda vez que no se tiene constancia de haber recibido la solicitud de derecho de acceso por carta y que tan pronto como se ha podido identificar a la parte reclamante, se ha procedido a entregarle la información correspondiente a su persona. Por su parte, en el documento Anexo I se observa la siguiente traducción del texto del correo electrónico supuestamente recibido por OPENBANK el 18 de noviembre de 2020 a las 11:27 hs: “Estimadas señoras y señores, el 13.11.2020 firmé un contrato de cuenta, IBAN: ***CUENTA.1. Lo impactado que estuve al final del proceso cuando me comunican: "Le hemos enviado una copia del contrato por correo electrónico." El contrato con el número de mi documento de identidad, mi número de teléfono móvil y mi fecha de nacimiento me fueron enviados sin más, por correo electrónico, sin posibilidad de rechazarlo. Según el artículo 15 de la RGPD, tengo derecho a pedirles confirmación sobre si han almacenado datos personales sobre mí. Si este fuese el caso, tengo derecho a la información sobre estos datos. 1. Información sobre mis datos almacenados por ustedes En este caso, me gustaría pedirles que me proporcione la siguiente información de acuerdo con el artículo 15 párrafo 1 RGPD:
  2. a)Qué datos sobre mi persona se encuentran almacenados o procesados por ustedes (por ejemplo apellido, nombre, dirección, fecha de nacimiento, profesión, los diagnósticos médicos).
  3. b)Además, les ruego que me informen sobre los fines para los que se tratan mis datos así como sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24
  4. c)las categorías de datos personales que se tratan en relación a mi persona y la base legal del tratamiento;
  5. d)los destinatarios o categorías de destinatarios que han recibido o recibirán mis datos;
  6. e)la duración prevista para el almacenamiento de mis datos o, si esto no es posible, los criterios para determinar esta duración;
  7. f)sobre la existencia de mis derechos de rectificación, supresión o restricción del tratamiento de mis datos, así como sobre mi derecho a oponerme a dicho tratamiento de conformidad con el artículo 21 de la RGPD y mi derecho a presentar una reclamación ante la autoridad de control competente.
  8. g)Si los datos sobre mi no son recabados, solicito toda la información disponible sobre el origen de los datos; e
  9. h)informarme de si existe una toma de decisiones automatizada, incluida la elaboración de perfiles, de conformidad con el artículo 22 de la RGPD. En este caso, facilítenme por favor información coherente sobre la lógica utilizada y los efectos pretendidos de dicho tratamiento para mi persona.
  10. i)Si mis datos personales han sido transferidos a un tercer país o a una organización internacional, por favor hágame saber, que garantías oportunas se han tomado de acuerdo con el art. 46 de la RGPD en relación con la migración. Por favor, facilítenme sin coste alguno una copia de mis datos personales almacenados por ustedes. Adjunto recibirá mi clave PGP pública, si desea utilizarla para proteger los datos. Tengan en cuenta que una transmisión no cifrada por correo electrónico no garantiza un nivel de protección adecuado. 2. Plazos y consecuencias legales De acuerdo con el artículo 12 párrafo 3 del GDPR, la información debe ser proporcionada inmediatamente, a más tardar en el plazo de un mes. En caso de no recibir información de usted dentro de este período, me pondré en contacto con la autoridad supervisora competente. Llamo su atención sobre el hecho de que la falta o incompleta información proporcionada, en virtud del artículo 83, párrafo 5 del GDPR son punibles con una multa. Tengo anotada la fecha del 18.12.2020 para la resolución. Saludos cordiales A.A.A.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 En el documento Anexo I también se observa la siguiente traducción del texto del correo electrónico supuestamente enviado desde datenschutz@openbank.com el 30 de noviembre de 2020 a las 15:23 hs a la dirección ***EMAIL.1, en respuesta a su correo enviado el 18 de noviembre de 2020 a las 11:30 hs: “Estimado Sr. A.A.A. Para recibir información sobre sus datos personales, primero debe identificarse. Para ello, debe enviarnos, desde la dirección de correo electrónico que tenemos registrada en nuestra base de datos, una copia del anverso y del reverso de su documento de identidad. Si prefiere ponerse en contacto con nosotros desde una dirección de correo electrónico diferente, debe enviarnos adicionalmente un formulario de solicitud firmado manualmente en el que se expone el derecho al que se refiere. Muchas gracias Le informamos de que los datos asociados a esta solicitud han sido utilizados para tramitar su solicitud. Almacenaremos los datos para cumplir con las obligaciones legales, a las que estamos sometidos en Openbank. Puede encontrar más información sobre sus derechos y la protección de datos en nuestra página web https://www.openbank.de/datenschutzpolitik” Asimismo, en el citado Anexo I también se observa la siguiente traducción del texto del correo electrónico supuestamente enviado desde ***EMAIL.1 a OPENBANK el 13 de diciembre de 2020 a las 15:23 hs: “Estimadas señoras o señores, Muchas gracias por su mensaje. Desgraciadamente, parece que han mezclado algunas cosas al responder a mi pregunta. Les he enviado mi correo electrónico mencionado, con fecha 18.11.2020, desde mi dirección de correo electrónico registrada con ustedes en relación a mi cuenta ***EMAIL.1, ver adjunto. Posteriormente, en su correo electrónico del 30.11.2020, a las 15:23 horas, solicitaron una verificación de identidad, véase el adjunto. Como su FAX era muy poco fiable, le envié esta justificación de inmediato por correo. El 13.11.2020, le envié una solicitud de información sobre la autoridad de control correspondiente en su caso desde mi otra dirección de correo electrónico, ***EMAIL.2. Sin embargo, esto es irrelevante para mi solicitud de información. Llevo un mes esperando en vano una respuesta. Por cierto, no puedo contactarles telefónicamente, porque la llamada se interrumpe inmediatamente si no estoy de acuerdo con la grabación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 En lo que respecta al envío de correos electrónicos no cifrados de extremo a extremo, la confidencialidad de los datos personales sensibles no está garantizada. De ser necesario, proporcione un medio de carga de documentos encriptado en su plataforma online. Saludos cordiales A.A.A.” En el citado Anexo I también se observa el siguiente texto del fax supuestamente adjunto en el correo electrónico del 13 de diciembre de 2020: “***LOCALIDAD.1, 30.11.2020 Acreditación de identidad para información según RGPD - Solicitud con fecha 18.11.2020 - Correo electrónico: ***EMAIL.1 - IBAN ***CUENTA.1. Estimadas señoras y señores, Gracias por su correo electrónico del 30.11.2020 en respuesta a mi solicitud de información del 18.11.2020. Con mucho gusto les envío una copia de mi documento de identidad. Sin embargo, elijo enviarlo por fax, ya que el envío por correo electrónico no garantiza la protección de datos sensibles como el del documento de identidad. Recuerde que la comprobación de identidad no amplía el plazo para proporcionar información. También quiero indicar de nuevo expresamente que la transmisión no encriptada de datos personales sensibles por correo electrónico no garantiza una protección adecuada de estos datos - ustedes ya habían recibido mi clave PGP con mi solicitud del 18 de noviembre de 2020. Si, en contra de lo esperado, recibo la información por correo electrónico no cifrado, informaré a la autoridad de supervisión competente. Le saluda atentamente” Por último, en el citado Anexo I se observa el siguiente texto del correo electrónico supuestamente enviado desde incidencias@openbank.es a la dirección ***EMAIL.1 el 11 de enero de 2021 a las 16:27 hs: “Estimado Sr. A.A.A.: En relación a su reclamación con número ***REFERENCIA.2 referente a la documentación para acogerse a los derechos de acceso, queremos informarle de que informamos que podrá ejercer su derecho de acceso por los siguientes medios: - En la parte privada de la web, una vez identificado con su Documento de Identidad y clave de acceso, accediendo a la sección “Datos Personales” de tu perfil, en la opción “Derecho de Acceso y Portabilidad” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 - Contactando telefónicamente con el teléfono +49
(0)69 945 189 175, e identificándose con su clave de firma. - Enviando la solicitud por correo electrónico desde la dirección de correo electrónico que tenemos registrada en nuestra base de datos a datenschutz@openbank.com, adjuntando en este una copia de su documento de identidad por ambas caras - Enviando la solicitud por correo postal con firma manuscrita y adjuntando igualmente una fotocopia de su documento de identidad. Esta carta la puede enviar a: Open Bank S.A., Privacy Paseo de la Castellana 24, 28046, Madrid Sin otro particular, aprovechamos la ocasión para saludarle muy atentamente. Atentamente Servicio de Incidencias Para su conveniencia, Openbank le facilita una copia de este escrito traducida a su lengua local, a efectos informativos en cuenta que la versión oficial de la respuesta de este Servicio de Reclamaciones y Atención al Cliente es la presente carta, que figura en idioma español y que prevalece, en caso de discrepancia, sobre la traducción a lengua local: (…)” Por su parte, en el Anexo II se observa la siguiente traducción del texto del correo electrónico supuestamente enviado desde datenschutz@openbank.com a la dirección ***EMAIL.1 el 29 de octubre de 2021 a las 12:05 hs: “Estimado Sr. A.A.A.: En relación con la reclamación presentada por Ud. ante la Autoridad de Protección de Datos francesa, que ha puesto en conocimiento de la Agencia de Protección de Datos (en adelante, “AEPD”) relativa a su solicitud de acceso a sus datos de carácter personal que son objeto de tratamiento por parte de OPEN BANK, S.A. (“Openbank”), le confirmamos que hemos analizado la misma y procedemos a informarle: • Si bien hemos recibido un correo electrónico por vuestra parte, en ningún momento hemos recibido un documento acreditativo de su identidad y por tanto, desde Openbank consideramos que no procedía atender el derecho de acceso ya que antes de proporcionar cualquier información debemos estar seguros que viene de la información adecuada y, en este caso al tratarse de información financiera que puede considerarse sensible, consideramos que si la vía por la que quiere ejercer el derecho de acceso en por mail, debería remitirnos una copia de la cedula de identidad. En esta misma línea se proclama la Oficina de Protección de datos de Baviera, en su sección de preguntas más frecuentes. • No obstante, ante la acreditación de su identidad frente a un Organismo Supervisor, procedemos a informarle que puede encontrar la información que poseemos de Ud. en su web su sección privada de Openbank, específicamente en la sección "Información personal" de su perfil de cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 • Asimismo, nos gustaría recordarle que, tal y como informamos en nuestra política de privacidad, desde Openbank ponemos a disposición de los clientes diferentes alternativas para el ejercicio de derechos de protección de datos: Puede enviarnos un correo electrónico a datenschutz@openbank.com Puede enviar una solicitud por escrito por correo postal a: Privacidad, Open Bank SA, Plaza de Santa Bárbara 2, 28004 Madrid (España). Puede comunicarse con nuestro centro de atención al cliente al 069945189175 o, si llama desde el extranjero, al +49
(0)
  1. Y, si ya es cliente de Openbank, puede enviar su solicitud a través de nuestro sitio web accediendo a la sección "Información personal" de su perfil de cliente. Finalmente, le informamos que para Openbank es un objetivo prioritario la privacidad de los datos personales de nuestros clientes y le garantizamos que cumplimos con todas las medidas establecidas en la legislación de protección de datos aplicable. Si precisa alguna aclaración adicional, no dude en contactar con nosotros a través de nuestro buzón de privacidad ( datenschutz@openbank.com). Reciba un cordial saludo, Atentamente, Oficina de Privacidad de Openbank” Por su parte, en el citado Anexo III se adjunta una relación de comunicaciones recibidas en la estafeta de OPENBANK cuyo origen es Alemania. En esta relación no se observa ninguna comunicación con remitente A.A.A. ni número de envío ***REFERENCIA.
  2. Finalmente, en el Anexo IV se adjunta copia de la política de privacidad de OPENBANK, en la que, en su apartado 11, consta: “Podrás ejercitar los derechos mencionados con anterioridad a través de los siguientes canales: • Web: desde tu perfil de cliente en la sección de “Datos Personales”. • E-mail: privacy@openbank.es. • Correo postal: «Open Bank, S.A. » Paseo de la Castellana 24, 28046, Madrid. • Sucursal: Paseo de la Castellana 134, 28046, Madrid. • Contact Center: 900 22 32
  3. Para llamadas desde el extranjero al (+34) 91 276 21 54”. NOVENO: Con fecha 23 de agosto de 2022, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 procedimiento E/10583/2021, así como las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por OPEN BANK, S.A., y la documentación que a ellas acompaña. En dicho escrito esta Agencia acordó también realizar la siguiente prueba documental: solicitar a la parte reclamante que aporte copia del acuse de recibo de la carta certificada enviada a OPENBANK en fecha 30 de noviembre de
  4. DÉCIMO: El 22 de agosto de 2022 la AEPD solicita, a través del Sistema IMI, a la autoridad alemana de protección de datos de Brandenburgo que se requiera a la parte reclamante para que aporte el acuse de recibo de la carta postal enviada a OPENBANK el 30 de noviembre de
  5. La autoridad de protección de datos de Brandenburgo compartió a través de IMI, el día 13 de septiembre de 2022, la siguiente documentación: - Texto de la carta postal enviada el 30 de noviembre de 2020 que habría enviado la parte reclamante a OPENBANK a la que adjunta copia de su DNI. - Copia de un correo electrónico (en alemán) enviado el 12 de diciembre de 2020 a las 16:59 hs desde la dirección datenschutz@openbank.com a ***EMAIL.2, con el siguiente texto (en alemán el original): “Hola Sr. A.A.A.: Le escribimos para informarle que lamentablemente no podemos identificarlo correctamente, porque la dirección de correo electrónico desde la que nos escribe no está registrada en nuestra base de datos. Para que podamos procesar su solicitud, debe enviarnos un correo electrónico desde la dirección de correo electrónico que se encuentra vinculado a su perfil de cliente en nuestros sistemas. Te recordamos que puedes cambiar la dirección de correo electrónico desde la web y la app, en el apartado "Información Personal" de su perfil. Además, esto también es posible por teléfono, al +49
(0)69 945 189 175. Si cambia su dirección de correo electrónico, escríbanos de nuevo desde la dirección que haya especificado para procesar su solicitud. Muchas gracias Tu equipo Openbank” - Copia del supuesto envío postal realizado por la parte reclamante, con la siguiente información del servicio de correo postal de Alemania, en el que no consta el acuse de recibo solicitado: Lfd Nr 4 Datum/ Uhrzeit 30.11.2020 C/ Jorge Juan, 6 28001 – Madrid Produkt Empfänger Absender Standard Open Bank A.A.A. Prei s 0,80 Portokasse Auftragsnummer ***EMAIL.2 ***REFERENCI www.aepd.es sedeagpd.gob.es 15/24 5 19:57:16 brief 30.11.2020 20:02:14 Standard brief Intern S.A. Paseo de la Castellana, 24 28046Madrid SPANIEN Open Bank S.A. Paseo de la Castellana, 24 28046 – Madrid SPANIEN ***LOCALID AD.1 € A.A.A. ***LOCALID AD.1 1,10 € A.3 ***EMAIL.2 ***REFERENCI A.4 DÉCIMO PRIMERO: Se ha comprobado por esta Agencia que en la relación de comunicaciones recibidas por OPENBANK desde Alemania, aportada como Anexo III de sus alegaciones al acuerdo de inicio del presente procedimiento sancionador, no consta ningún envío con el número ***REFERENCIA.3 ni ***REFERENCIA.4. DÉCIMO SEGUNDO: Con fecha 7 de noviembre de 2022, la Directora de la AEPD adoptó un proyecto de decisión de archivo de actuaciones. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 8 de noviembre de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante firmó un contrato con OPENBANK el 13 de noviembre de 2020, en el que aparecen los siguientes datos relacionados con su persona: IBAN, número de documento de identidad, nombre y apellidos, firma manuscrita, nacionalidad, fecha de nacimiento, actividad profesional, dirección de correo electrónico (***EMAIL.1), número de móvil y domicilio. SEGUNDO: El 18 de noviembre de 2020 a las 11:27 hs se envió un correo electrónico (en alemán el original) desde la dirección ***EMAIL.1 a datenschutz@openbank.com, con el siguiente mensaje: “Estimadas señoras y señores, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 el 13.11.2020 firmé un contrato de cuenta, IBAN: ***CUENTA.1. Lo impactado que estuve al final del proceso cuando me comunican: "Le hemos enviado una copia del contrato por correo electrónico." El contrato con el número de mi documento de identidad, mi número de teléfono móvil y mi fecha de nacimiento me fueron enviados sin más, por correo electrónico, sin posibilidad de rechazarlo. Según el artículo 15 de la RGPD, tengo derecho a pedirles confirmación sobre si han almacenado datos personales sobre mí. Si este fuese el caso, tengo derecho a la información sobre estos datos. 1. Información sobre mis datos almacenados por ustedes En este caso, me gustaría pedirles que me proporcione la siguiente información de acuerdo con el artículo 15 párrafo 1 RGPD:
  1. a)Qué datos sobre mi persona se encuentran almacenados o procesados por ustedes (por ejemplo apellido, nombre, dirección, fecha de nacimiento, profesión, los diagnósticos médicos).
  2. b)Además, les ruego que me informen sobre los fines para los que se tratan mis datos así como sobre
  3. c)las categorías de datos personales que se tratan en relación a mi persona y la base legal del tratamiento;
  4. d)los destinatarios o categorías de destinatarios que han recibido o recibirán mis datos;
  5. e)la duración prevista para el almacenamiento de mis datos o, si esto no es posible, los criterios para determinar esta duración;
  6. f)sobre la existencia de mis derechos de rectificación, supresión o restricción del tratamiento de mis datos, así como sobre mi derecho a oponerme a dicho tratamiento de conformidad con el artículo 21 de la RGPD y mi derecho a presentar una reclamación ante la autoridad de control competente.
  7. g)Si los datos sobre mi no son recabados, solicito toda la información disponible sobre el origen de los datos; e
  8. h)informarme de si existe una toma de decisiones automatizada, incluida la elaboración de perfiles, de conformidad con el artículo 22 de la RGPD. En este caso, facilítenme por favor información coherente sobre la lógica utilizada y los efectos pretendidos de dicho tratamiento para mi persona.
  9. i)Si mis datos personales han sido transferidos a un tercer país o a una organización internacional, por favor hágame saber, que garantías oportunas se han tomado de acuerdo con el art. 46 de la RGPD en relación con la migración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 Por favor, facilítenme sin coste alguno una copia de mis datos personales almacenados por ustedes. Adjunto recibirá mi clave PGP pública, si desea utilizarla para proteger los datos. Tengan en cuenta que una transmisión no cifrada por correo electrónico no garantiza un nivel de protección adecuado. 2. Plazos y consecuencias legales De acuerdo con el artículo 12 párrafo 3 del GDPR, la información debe ser proporcionada inmediatamente, a más tardar en el plazo de un mes. En caso de no recibir información de usted dentro de este período, me pondré en contacto con la autoridad supervisora competente. Llamo su atención sobre el hecho de que la falta o incompleta información proporcionada, en virtud del artículo 83, párrafo 5 del GDPR son punibles con una multa. Tengo anotada la fecha del 18.12.2020 para la resolución. Saludos cordiales A.A.A.” TERCERO: En respuesta al anterior correo, el 30 de noviembre de 2020 a las 15:23 hs se envió un correo electrónico desde la dirección datenschutz@openbank.com a la dirección ***EMAIL.1, con el siguiente mensaje (en alemán el original): “Estimado Sr. A.A.A. Para recibir información sobre sus datos personales, primero debe identificarse. Para ello, debe enviarnos, desde la dirección de correo electrónico que tenemos registrada en nuestra base de datos, una copia del anverso y del reverso de su documento de identidad. Si prefiere ponerse en contacto con nosotros desde una dirección de correo electrónico diferente, debe enviarnos adicionalmente un formulario de solicitud firmado manualmente en el que se expone el derecho al que se refiere. Muchas gracias Le informamos de que los datos asociados a esta solicitud han sido utilizados para tramitar su solicitud. Almacenaremos los datos para cumplir con las obligaciones legales, a las que estamos sometidos en Openbank. Puede encontrar más información sobre sus derechos y la protección de datos en nuestra página web https://www.openbank.de/datenschutzpolitik” CUARTO: El 30 de noviembre de 2020 la parte reclamante realiza dos envíos postales a la dirección “Open Bank S.A. Paseo de la Castellana, 24 28046 -Madrid SPANIEN”, con identificación número ***REFERENCIA.1 y en cada envío los números ***REFERENCIA.3 y ***REFERENCIA.4, respectivamente. No consta que estos envíos en cuestión hubieran sido recibidos debidamente por OPENBANK. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 QUINTO: El 12 de diciembre de 2020 a las 16:59 hs se envía un correo electrónico desde la dirección datenschutz@openbank.com a la dirección ***EMAIL.2, con el siguiente mensaje (en alemán el original): “Hola Sr. A.A.A.: Le escribimos para informarle que lamentablemente no podemos identificarlo correctamente, porque la dirección de correo electrónico desde la que nos escribe no está registrada en nuestra base de datos. Para que podamos procesar su solicitud, debe enviarnos un correo electrónico desde la dirección de correo electrónico que se encuentra vinculado a su perfil de cliente en nuestros sistemas. Te recordamos que puedes cambiar la dirección de correo electrónico desde la web y la app, en el apartado "Información Personal" de su perfil. Además, esto también es posible por teléfono, al +49
(0)69 945 189
  1. Si cambia su dirección de correo electrónico, escríbanos de nuevo desde la dirección que haya especificado para procesar su solicitud. Muchas gracias Tu equipo Openbank” SEXTO: El 13 de diciembre de 2020 a las 20:49 hs se envía un correo electrónico desde la dirección ***EMAIL.1 a OPENBANK con el siguiente mensaje (en alemán el original): “Estimadas señoras o señores, Muchas gracias por su mensaje. Desgraciadamente, parece que han mezclado algunas cosas al responder a mi pregunta. Les he enviado mi correo electrónico mencionado, con fecha 18.11.2020, desde mi dirección de correo electrónico registrada con ustedes en relación a mi cuenta ***EMAIL.1, ver adjunto. Posteriormente, en su correo electrónico del 30.11.2020, a las 15:23 horas, solicitaron una verificación de identidad, véase el adjunto. Como su FAX era muy poco fiable, le envié esta justificación de inmediato por correo. El 13.11.2020, le envié una solicitud de información sobre la autoridad de control correspondiente en su caso desde mi otra dirección de correo electrónico, ***EMAIL.
  2. Sin embargo, esto es irrelevante para mi solicitud de información. Llevo un mes esperando en vano una respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 Por cierto, no puedo contactarles telefónicamente, porque la llamada se interrumpe inmediatamente si no estoy de acuerdo con la grabación. En lo que respecta al envío de correos electrónicos no cifrados de extremo a extremo, la confidencialidad de los datos personales sensibles no está garantizada. De ser necesario, proporcione un medio de carga de documentos encriptado en su plataforma online. Saludos cordiales A.A.A.” En dicho correo se adjunta el siguiente texto del fax supuestamente enviado el 30 de noviembre de 2020: “***LOCALIDAD.1, 30.11.2020 Acreditación de identidad para información según RGPD - Solicitud con fecha 18.11.2020 - Correo electrónico: ***EMAIL.1 - IBAN ***CUENTA.
  3. Estimadas señoras y señores, Gracias por su correo electrónico del 30.11.2020 en respuesta a mi solicitud de información del 18.11.
  4. Con mucho gusto les envío una copia de mi documento de identidad. Sin embargo, elijo enviarlo por fax, ya que el envío por correo electrónico no garantiza la protección de datos sensibles como el del documento de identidad. Recuerde que la comprobación de identidad no amplía el plazo para proporcionar información. También quiero indicar de nuevo expresamente que la transmisión no encriptada de datos personales sensibles por correo electrónico no garantiza una protección adecuada de estos datos - ustedes ya habían recibido mi clave PGP con mi solicitud del 18 de noviembre de
  5. Si, en contra de lo esperado, recibo la información por correo electrónico no cifrado, informaré a la autoridad de supervisión competente. Le saluda atentamente” SÉPTIMO: El 11 de enero de 2021 a las 16:27 hs, se envía un correo electrónico desde la dirección incidencias@openbank.es a la dirección ***EMAIL.1, con el siguiente mensaje (en alemán el original): “Estimado Sr. A.A.A.: En relación a su reclamación con número ***REFERENCIA.2 referente a la documentación para acogerse a los derechos de acceso, queremos informarle de que informamos que podrá ejercer su derecho de acceso por los siguientes medios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 - En la parte privada de la web, una vez identificado con su Documento de Identidad y clave de acceso, accediendo a la sección “Datos Personales” de tu perfil, en la opción “Derecho de Acceso y Portabilidad” - Contactando telefónicamente con el teléfono +49
(0)69 945 189 175, e identificándose con su clave de firma. - Enviando la solicitud por correo electrónico desde la dirección de correo electrónico que tenemos registrada en nuestra base de datos a datenschutz@openbank.com, adjuntando en este una copia de su documento de identidad por ambas caras - Enviando la solicitud por correo postal con firma manuscrita y adjuntando igualmente una fotocopia de su documento de identidad. Esta carta la puede enviar a: Open Bank S.A., Privacy Paseo de la Castellana 24, 28046, Madrid Sin otro particular, aprovechamos la ocasión para saludarle muy atentamente. Atentamente Servicio de Incidencias Para su conveniencia, Openbank le facilita una copia de este escrito traducida a su lengua local, a efectos informativos en cuenta que la versión oficial de la respuesta de este Servicio de Reclamaciones y Atención al Cliente es la presente carta, que figura en idioma español y que prevalece, en caso de discrepancia, sobre la traducción a lengua local: (…)” OCTAVO: El 29 de octubre de 2021 a las 12:05 hs, se envía un correo electrónico desde la dirección datenschutz@openbank.com a la dirección ***EMAIL.1, con el siguiente mensaje: “Estimado Sr. A.A.A.: En relación con la reclamación presentada por Ud. ante la Autoridad de Protección de Datos francesa, que ha puesto en conocimiento de la Agencia de Protección de Datos (en adelante, “AEPD”) relativa a su solicitud de acceso a sus datos de carácter personal que son objeto de tratamiento por parte de OPEN BANK, S.A. (“Openbank”), le confirmamos que hemos analizado la misma y procedemos a informarle: • Si bien hemos recibido un correo electrónico por vuestra parte, en ningún momento hemos recibido un documento acreditativo de su identidad y por tanto, desde Openbank consideramos que no procedía atender el derecho de acceso ya que antes de proporcionar cualquier información debemos estar seguros que viene de la información adecuada y, en este caso al tratarse de información financiera que puede considerarse sensible, consideramos que si la vía por la que quiere ejercer el derecho de acceso en por mail, debería remitirnos una copia de la cedula de identidad. En esta misma línea se proclama la Oficina de Protección de datos de Baviera, en su sección de preguntas más frecuentes. • No obstante, ante la acreditación de su identidad frente a un Organismo Supervisor, procedemos a informarle que puede encontrar la información que poseemos de Ud. en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 su web su sección privada de Openbank, específicamente en la sección "Información personal" de su perfil de cliente. • Asimismo, nos gustaría recordarle que, tal y como informamos en nuestra política de privacidad, desde Openbank ponemos a disposición de los clientes diferentes alternativas para el ejercicio de derechos de protección de datos: Puede enviarnos un correo electrónico a datenschutz@openbank.com Puede enviar una solicitud por escrito por correo postal a: Privacidad, Open Bank SA, Plaza de Santa Bárbara 2, 28004 Madrid (España). Puede comunicarse con nuestro centro de atención al cliente al 069945189175 o, si llama desde el extranjero, al +49
(0)69945189175. Y, si ya es cliente de Openbank, puede enviar su solicitud a través de nuestro sitio web accediendo a la sección "Información personal" de su perfil de cliente. Finalmente, le informamos que para Openbank es un objetivo prioritario la privacidad de los datos personales de nuestros clientes y le garantizamos que cumplimos con todas las medidas establecidas en la legislación de protección de datos aplicable. Si precisa alguna aclaración adicional, no dude en contactar con nosotros a través de nuestro buzón de privacidad ( datenschutz@openbank.com). Reciba un cordial saludo, Atentamente, Oficina de Privacidad de Openbank” FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que OPENBANK realiza la recogida de los siguientes datos personales de personas físicas: nombre y correo electrónico, entre otros tratamientos. OPENBANK realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que OPENBANK está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, OPENBANK tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el derecho de acceso a los datos personales se regula en el artículo 15 del RGPD. III Derecho de acceso El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  1. a)los fines del tratamiento;
  2. b)las categorías de datos personales de que se trate;
  3. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  4. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  5. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  6. f)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24
  7. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  8. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. En el presente caso, consta que la parte reclamante había solicitado a OPENBANK el acceso a sus datos personales el 18 de noviembre de 2020 mediante correo electrónico sin haber adjuntado copia de su documento de identidad, que era lo que le exigía OPENBANK para facilitar el acceso a dichos datos. Por su parte, con fecha 30 de noviembre de 2020, la parte reclamante envió dos comunicaciones a la dirección postal indicada por OPENBANK a tal fin. La parte reclamante manifiesta que en estas comunicaciones solicitaba el acceso a sus datos personales y aportaba una copia de su documento de identidad y daba como referencia su dirección de correo electrónico y su número de cuenta IBAN. No obstante, no ha quedado acreditado en el presente procedimiento el contenido de tales comunicaciones ni que los envíos postales enviados por la parte reclamante hubieran sido debidamente recibidos por OPENBANK. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a OPEN BANK, S.A., con NIF A28021079. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  9. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.