PS-00677-2022

1/110  Expediente N.º: PS/00677/2022 TABLA DE CONTENIDOS I. ANTECEDENTES: PRIMERO. – Acuerdo de incoación del presente procedimiento sancionador SEGUNDO. – Presentación de alegaciones al acuerdo de inicio y reconocimiento parcial de responsabilidad. TERCERO. – Pago voluntario de tres infracciones. CUARTO. – Reconocimiento de responsabilidad y renuncia a cualquier acción o recurso en vía administrativa de tres infracciones. QUINTO. – Emisión de la propuesta de resolución. Transcripción del texto íntegro de la propuesta con la siguiente estructura:  Antecedentes: Primero a Undécimo.  Hechos Probados: Primero a Cuadragésimo sexto  Fundamentos de Derecho: Primero a Décimo  Propuesta de resolución SEXTO. – Presentación de alegaciones a la propuesta de resolución SÉPTIMO. – Pago voluntario de dos infracciones. OCTAVO. – Renuncia a cualquier acción o recurso en vía administrativa de dos infracciones. NOVENO. – Proposición de medidas. I. FUNDAMENTOS DE DERECHO PRIMERO. – Competencia. SEGUNDO. – Terminación del procedimiento por pago voluntario. TERCERO. – Contestación a las alegaciones aducidas a la propuesta de resolución. CUARTO. – Imposición de medidas. PARTE DISPOSITIVA C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 2/110 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BBVA a fin de imponerle multas por un importe total de 1.640.000 euros, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta comisión de las siguientes infracciones: Tres relacionadas con el caso concreto denunciado por la reclamante: - Por la presunta infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del RGPD, en relación con la contratación no autorizada de productos. - Por la presunta infracción del artículo 32 del RGPD tipificada en el artículo 83.4 del mismo Reglamento, por la falta de medidas de seguridad en relación con los procedimientos de comunicación, inclusión y mantenimiento en los sistemas de información crediticia de datos personales - Por la presunta infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del mismo Reglamento, en relación con la incorporación de datos personales en los sistemas de información crediticia. Y dos relacionadas con la forma en la que se establecieron los procedimientos implantados por el BBVA y que fueron revelados a través de la información aportada por la entidad financiera durante las actuaciones de investigación: - Por la presunta infracción del artículo 25 del RGPD tipificada en el artículo 83.4 del mismo Reglamento. - Por la presunta infracción del artículo 32 del RGPD tipificada en el artículo 83.4 del mismo Reglamento, por con la falta de medidas de seguridad en relación con los procedimientos de contratación de productos financieros En el citado acuerdo de inicio se le indicaba al BBVA que tenía un plazo de diez días para presentar alegaciones. SEGUNDO: Con fecha 10 de febrero de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de BBVA en el que, por una parte, se aduce alegaciones al acuerdo de inicio respecto a la presunta infracción del artículo 25 del RGPD y a la presunta infracción del artículo 32 del RGPD por falta de medidas de seguridad en relación con los procedimientos de contratación de productos financieros y, por otra parte, se acepta la responsabilidad en la comisión de las siguientes infracciones recogidas en el acuerdo de inicio relacionadas con el caso concreto reclamado ante la Agencia que dio origen a la investigación realizada: - La infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del RGPD, con relación a la contratación no autorizada de productos. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 3/110 - La infracción del artículo 32 del RGPD tipificada en el artículo 83.4 del mismo Reglamento, por la falta de medidas de seguridad con relación a los procedimientos de comunicación, inclusión y mantenimiento en los sistemas de información crediticia de datos personales, - La infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del mismo Reglamento, con relación a la incorporación de datos personales en los sistemas de información crediticia. TERCERO: BBVA procedió al pago de las sanciones impuestas por las infracciones cuya responsabilidad había sido aceptada, en la cuantía de 384.000 euros, haciendo uso de las dos reducciones previstas en el acuerdo de inicio. CUARTO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el acuerdo de Inicio respecto a las infracciones cuya responsabilidad ha sido aceptada por BBVA. QUINTO: Analizadas las alegaciones presentadas, con fecha 8 de septiembre de 2023, se emitió la siguiente propuesta de resolución: << Expediente N.º: PS/00677/2022 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 12 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada o BBVA). Los motivos en que basa la reclamación son los siguientes: El día 13/04/2020 la reclamante solicitó a BBVA el bloqueo de su tarjeta número ***TARJETA.1 al percatarse de la sustracción de esta. La parte reclamante manifiesta que: “En fecha de 14 de abril de 2020 BBVA es avisado por teléfono y por mail que, entre los días 10 y 13 de abril, la Sra. A.A.A. ha sido víctima de un robo del bolso (con móvil, tarjeta, y otros enseres personales) por una trabajadora de la Residencia (…), en Barcelona. La Sra. A.A.A. se hallaba temporalmente en dicha residencia para recibir un tratamiento oncológico. Se solicita a C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 4/110 BBVA el bloqueo inmediato de todos los productos bancarios contratados por las Sras. A.A.A. y B.B.B.. “BBVA hace caso omiso y permite que, en las semanas siguientes, con suplantación de identidad, terceros accedan a los productos bancarios de dichas señoras, operen con ellos (vaciando las cuentas, cargando facturas), contraten nuevos productos (préstamo, tarjeta, financiación Carrefour), realicen transferencias internacionales a países latinoamericanos desde dichas cuentas, etc”. No obstante, según la parte reclamante, se producen cargos, transferencias y movimientos no consentidos en su cuenta, procediéndose a generar una deuda que no le corresponde, y que BBVA le reclama a través de diversas empresas de recobro. Aporta junto a su escrito de reclamación informe de EXPERIAN de 18 de agosto y 8 de septiembre de 2020 sobre la inclusión de los datos de la parte reclamante a instancias de la reclamada; presentación de demanda ante el juzgado, en fecha 3 de septiembre de 2020; escrito de 31 de octubre de 2020, con reclamaciones de KRUK y de EXPERIAN; y escrito de 21 de septiembre de 2021, con reclamación de AXACTOR. Junto a la notificación se aporta una demanda presentada por la parte reclamante en Juicio ordinario contra la parte reclamada, de fecha 01/09/2020. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10/12/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 28/01/2022 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: en primer lugar, incluye un resumen de los acontecimientos acaecidos a partir de abril de 2020: El día 13/04/2020 la parte reclamante solicitó a BBVA el bloqueo de su tarjeta número ***TARJETA.1 al percatarse de la sustracción de la misma según detalla en el escrito de demanda. Ese mismo día BBVA procedió al bloqueo de la tarjeta de manera inmediata, exactamente a las 18:07 h., si bien, esto no impidió que con anterioridad una persona no determinada suplantara la identidad de la Sra. A.A.A. y realizara diferentes operaciones, compras con la tarjeta bancaria y transferencias. El día 6/05/2020 el SAC recibió una comunicación de la Sra. C.C.C. solicitando la retrocesión de cualquier operación bancaria realizada desde el 10 de Abril de C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 5/110 2020 con cargo a la cuenta, o a cualquier otro producto, titularidad de sus de sus representadas, las Sras. A.A.A. y B.B.B. en BBVA. El día 3/07/2020 el SAC recibió una segunda carta de la Sra. C.C.C. solicitando que se impidiera el acceso, por parte de terceros, a cualquier producto bancario titularidad de las Sras. A.A.A. y B.B.B., así como el abono de los importes y conceptos reclamados previamente en mayo de 2020. El día 09/09/2020 la Sra. B.B.B. se dirigió mediante correo electrónico a la Oficina del Defensor del Cliente solicitando la cancelación de diferentes productos titularidad de la Sra. A.A.A., así como la retrocesión de los importes sustraídos y reclamados previamente a BBVA. El día 13/07/2020 BBVA requirió a la Sra. A.A.A. el pago de la deuda derivada de descubierto en cuenta y de las cuotas de un préstamo personal, advirtiendo que “los datos de las deudas ciertas, vencidas, exigibles e impagadas con BBVA cuyo pago ha sido requerido previamente, serán comunicados a ASNEF, sistema de información crediticia en el que nuestra entidad participa, accesible para cualquier persona física o jurídica, todo ello de conformidad con lo establecido por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales”. Dicha notificación se realizó por medio de la mercantil SERVINFORM, S.A. (en adelante, “Servinform”), empresa subcontratada por BBVA que certifica que dicha comunicación se generó, imprimió y ensobró sin que se generase incidencia alguna que alterase el resultado final del envío. El 13/07/2020 la comunicación número de referencia ***REFERENCIA.1 se puso a disposición del servicio de Correos para su posterior distribución, junto con un total de 870 comunicaciones. Se adjunta asimismo el albarán de entrega número ***ALBARÁN.1. En relación al requerimiento indicado, el proveedor del servicio de control de devoluciones (servicio que Servinform tiene subcontratado a EQUIFAX IBERICA S.L) ha certificado con fecha 20/12/2021 que “no consta que la Carta de Certificación de Requerimiento Previo de Pago con ref. ***REFERENCIA.1, generada en Equifax, en fecha 13/17/2020, procesada en el prestador del servicio SERVINFORM S.A., (antes MFASIS Billing & Marketing Services, S.L.) con fecha 13/07/2020, y puesta a disposición del servicio de envíos postales con fecha 13/07/2020, 15/07/2020; dirigida a A.A.A., con dirección en ***DIRECCIÓN.1, en la localidad de ***LOCALIDAD.1 con Código Postal (…) – TARRAGONA, haya sido devuelta por motivo alguno al apartado de Correos designado a tal efecto”. Documentos que se aglutinan todos ellos en el Documento nº 8. El día 8/09/2020 BBVA cedió los datos de la Sra. A.A.A. al fichero de solvencia Badexcug/Experian por motivo de las referidas deudas. El día 22/09/2020 el Juzgado de Primera Instancia 10 de Barcelona notificó a BBVA la demanda prestada por la Sra. A.A.A. en el seno del Procedimiento Ordinario ***PROCEDIMIENTO.1 donde solicitaba, entre otros C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 6/110 pronunciamientos, el abono de 6.090,14 euros por los cargos fraudulentos y 7.000 euros en concepto de lucro cesante o daños y perjuicios inmateriales. BBVA, tal y como se ha acreditado, procedió al instante, al bloqueo de todos los instrumentos de pago asociados a la Sra. A.A.A.. No obstante, BBVA no ha retrocedido los cargos efectuados con anterioridad puesto que las operaciones fueron validadas con el doble factor de autenticación. La parte reclamante sostiene que no ha prestado el consentimiento en las operaciones efectuadas entre el 10 y 13 de abril de 2020. No obstante, no podemos considerar aplicable el artículo 31 del Real Decreto Ley de Servicios de Pago que dispone que “en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante le devolverá de inmediato el importe de la operación no autorizada y, en su caso, restablecerá en la cuenta de pago en que se haya adeudado dicho importe el estado que habría existido de no haberse efectuado la operación de pago no autorizada” pues las operaciones fueron autenticadas y registradas con exactitud y contabilizadas, y no se vieron afectadas por un fallo técnico o cualquier otra deficiencia. El artículo 30 de la Ley de Servicios de Pago establece que “cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá a su proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico o cualquier otra deficiencia.” A estos efectos, en el marco del procedimiento judicial tramitado por el Juzgado de Primera Instancia N 10 de Barcelona (***PROCEDIMIENTO.1), se está discutiendo la procedencia o no de tal reclamación, donde conforme a las pruebas aportadas por las partes se resolverá si existió por parte de la parte reclamante falta de diligencia en la custodia de los mecanismos de seguridad facilitados por el Banco. BBVA no mantiene en el día de hoy informados los datos de la parte reclamante en ficheros de solvencia patrimonial y crédito. Por todo lo anterior, se pone de manifiesto que la actuación de BBVA ha sido diligente y conforme a la normativa de protección de datos, estando pendiente la resolución judicial sobre las cantidades dispuestas, y no realizando cesión de datos en la actualidad a ficheros de solvencia patrimonial y crédito. TERCERO: Con fecha 12 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 7/110 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, Estas actuaciones tuvieron por objeto investigar los hechos denunciados en la reclamación y, como consecuencia de ello, también analizar el procedimiento que BBVA tiene establecido para las contrataciones de productos financieros y las garantías que en esos procedimientos se establecen para evitar supuestos como el producido. A través de esta investigación se tuvo conocimiento de los siguientes extremos: Hechos según manifestaciones de la parte reclamante: - Entre los días 10 y 13 de abril de 2020 la parte reclamante fue víctima del robo de su bolso en el que tenía, entre otras cosas, el teléfono móvil, el documento nacional de identidad, y la tarjeta de crédito. - El día 13 de abril avisa al reclamado del robo sufrido y el 14 vuelve a solicitar el bloqueo de todos los productos bancarios contratados por la parte reclamante y por su hija. Así mismo, informa de que entre la documentación sustraída se encuentra la tarjeta de crédito, el DNI y el teléfono móvil, entre otros - Expresa que el reclamado no procede correctamente al bloqueo solicitado lo que permite que terceros suplanten la identidad de las afectadas accediendo a sus productos bancarios y operando con ellos. - Señala que el reclamado ha inscrito a la parte reclamante en sistemas de información crediticia y ha cedido sus datos a empresas de recobro (cita “KRUK, EXPERIAN, AXACTOR”). Documentación relevante aportada por la parte reclamante: - Demanda de juicio ordinario (en adelante la demanda) contra el reclamado presentada el 1 de septiembre de 2020 que contiene la descripción de los hechos. - Escrito de ampliación de la demanda (primera ampliación de la demanda) de fecha 31 de octubre de 2020 (registro de presentación el 2 de noviembre de 2020) con referencia al “***PROCEDIMIENTO.1” en el que manifiesta que el reclamado ha continuado reclamando importes correspondientes a actos realizados por los delincuentes y ha incluido a la parte reclamante en un “fichero de morosos”. Adjunta a varios documentos entre los que se incluye: correo electrónico dirigido el 9 de septiembre de 2020 al reclamado, escrito del 8 de septiembre de 2020 dirigido por Experian a la parte reclamante en el que le comunican la inclusión de una deuda procedente de un préstamo personal por el reclamado en el fichero Badexcug. - Escrito de ampliación de la demanda de fecha 21 de septiembre de 2021 (segunda ampliación de la demanda) en el que se refiere que la entidad AXACTOR en nombre del reclamado ha contactado con la parte reclamante para gestionar una deuda pendiente de cobro. Adjunta copia de la carta. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 8/110 El día 18 de enero de 2022 la parte reclamante presenta el escrito de número de registro (…) (ampliación de la reclamación) facilitando la siguiente documentación adicional en relación con los hechos denunciados: - Carta dirigida por el reclamado a la parte reclamante para comunicarle la existencia de dos deudas relativas a los contratos ***CONTRATO.1 y ***CONTRATO.2 que se han comunicado al área de recobros. Además, le informa de que las deudas ciertas, vencidas, exigibles, e impagadas cuyo pago haya sido requerido pueden ser comunicadas a los sistemas de información crediticia. - Carta de Equifax de fecha 24 de diciembre de 2021 en la que se informa de que el reclamado, el día 23 de diciembre de 2021, solicitó la inclusión de dos deudas por los conceptos de “préstamos personales” y “tarjetas de crédito”. - Copia de un burofax de fecha 5 de enero de 2022 dirigido por la parte reclamante al reclamado en el que, en relación con la solicitud del pago de unas deudas recibida el 15 de diciembre de 2021, refiere la existencia de una demanda (“***PROCEDIMIENTO.1”) interpuesta el 1 de septiembre de 2020 en solicitud de declaración judicial de cierre y cancelación de cuentas y tarjetas bancarias y de exoneración de cualquier deuda por cualquier concepto originado en las mismas desde 10 de abril de 2020 en adelante. Cita que dicho proceso se encuentra pendiente de señalamiento para juicio. Manifiesta, asimismo, que la deuda no resulta atribuible a la parte reclamante y solicita la cancelación de sus datos personales en todos los ficheros a los que los hayan cedido (con inclusión de los ficheros de morosidad). - Copia de un burofax de fecha 5 de enero de 2022 dirigido por la parte reclamante a Equifax con referencia al escrito previo. Refiere la existencia de una demanda (“***PROCEDIMIENTO.1”) interpuesta el 1 de septiembre de 2020 en solicitud de declaración judicial de cierre y cancelación de cuentas y tarjetas bancarias y de exoneración de cualquier deuda por cualquier concepto originado en las mismas desde 10 de abril de 2020 en adelante. Cita que dicho proceso se encuentra pendiente de señalamiento para juicio. Manifiesta asimismo que la deuda no resulta atribuible a la parte reclamante y solicita la eliminación de los datos personales de la parte reclamante de todos los ficheros de Equifax. INTERVINIENTES Además de los referidos anteriormente, durante las presentes actuaciones han intervenido: - AXACTOR ESPAÑA PLATFORM, S.A. (en adelante, Axactor). - EQUIFAX IBÉRICA, S.L. (en adelante, Equifax). - EXPERIAN BUREAU DE CRÉDITO, S.A. (en adelante, Experian). - INTRUM SERVICING SPAIN, S.A.U. (en adelante, Intrum) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 9/110 Sobre el alcance de la investigación La documentación facilitada por los intervinientes contiene detalles sobre productos vinculados no sólo a la parte reclamante sino también a la hija de la parte reclamante, el marido de ésta, y la empresa de este último. Asimismo, se nombran en algunos de los documentos actuaciones fraudulentas cometidas por los terceros contra la reclamada en relación con otras entidades (Sanitas, Iberia, El Corte Inglés, Movistar, Carrefour, etc.). Además, se cita a alguna de las personas que presuntamente habrían cometido el delito indicándose que se estaría procediendo también judicialmente contra las mismas. Dado que la reclamación ante esta agencia se ha presentado en nombre de la parte reclamante y en contra del reclamado la investigación se ciñe a la relación entre ambos y su impacto en el derecho a la protección de sus datos personales. Cronología de los hechos En las comunicaciones que se refieren a continuación el reclamado ha actuado tanto a través de direcciones genéricas asociadas a diferentes departamentos (defensor del cliente, departamento de seguridad, atención al cliente, etc.) como de trabajadores concretos (director de la sucursal y ayudante del mismo a la que se encontraba adscrita la parte reclamante). En esta cronología las del primer tipo se citan como procedentes o dirigidas al reclamado (sin especificación concreta del departamento). En el caso de las segundas se referencia al director de la sucursal o su ayudante. De la información obtenida se ha obtenido la siguiente cronología de hechos: - Según expone en la demanda la parte reclamante a principios de abril del año 2020 ingresa en una residencia para recibir un tratamiento médico. - Añade en la demanda que, entre los días 10 y 13 de abril de 2020 una trabajadora de la residencia le sustrajo “su móvil, […] tarjeta de crédito, […] y otra documentación personal de carácter esencial (DNI, carnet de conducir, [,,,])”. - El día 13 de abril de 2020 se bloqueó la tarjeta número ***TARJETA.1 de la parte reclamante. El reclamado manifiesta que procedió a su bloqueo “de manera inmediata” tras la solicitud de la parte reclamante. Facilita una impresión de pantalla en la que se aprecia la ejecución de una operación de bloqueo manual de la tarjeta ***TARJETA.1 el día 13 de abril de 2020 a las 18:06 horas. - El día 14 de abril de 2020 la hija de la parte reclamante se dirige por correo electrónico al reclamado -a la dirección de la ayudante del director de la sucursal para comunicar el robo sufrido por la parte reclamante (“móvil, monedero, tarjetas, etc.”). En el escrito solicita cancelar “todas” las tarjetas de la parte reclamante y que le faciliten un número de teléfono al que poder llamar. - El mismo día 14 de abril de 2020 el reclamado (la ayudante del director de la sucursal) responde al correo anterior señalando que la parte reclamante dispone de una única tarjeta (***TARJETA.1) que fue bloqueada el 13 de abril. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 10/110 Además, pregunta si el bloqueo se efectuó como consecuencia de una llamada previa al “contact center”. Asimismo, informa de que, con carácter previo al bloqueo, se habían realizado una serie de cargos “a través de banca online que supongo que no a [sic] realizado ella” que lista. Le expresa que, si no fueran correctos, necesitan una denuncia ante las fuerzas y cuerpos de seguridad para poder tramitar el fraude. - El reclamado manifiesta que con anterioridad a la comunicación al banco del robo un tercero ya había suplantado la identidad de la parte reclamante y realizado operaciones. Añade, en relación con éstas, que no ha retrocedido los cargos ya que fueron validadas con doble factor de autenticación. En concreto señala que “las operaciones fueron autenticadas y registradas con exactitud y contabilizadas, y no se vieron afectadas por un fallo técnico o cualquier otra deficiencia”. o Incluye un listado de cargos realizados con la tarjeta ***TARJETA.1 entre el 11 de abril y el 30 de abril de 2020 por importe de 5.559,88 euros, realizados con posterioridad a la denuncia que realizó la parte reclamante ante el BBVA el 13 de abril. o Incluye detalles de movimientos de tipo transferencia y “bizum” producidos los días 14 y 24 de abril de 2020 en los que figura la parte reclamante como ordenante, realizados con posterioridad a la denuncia que realizó la parte reclamante ante el BBVA el 13 de abril. - La parte reclamante en la demanda señala que “intentaron dar de baja la línea de móvil relativa al aparato sustraído, ***TELÉFONO.1, desde la propia página web de Telefónica y realizando infinitas llamadas a la misma.” - El día 16 de abril de 2020 el reclamado (el director de la sucursal) envía un correo electrónico en el que expresa que es necesaria la denuncia ante las fuerzas y cuerpos de seguridad para realizar la investigación. - El día 17 de abril de 2020 la hija de la parte reclamante dirige un correo electrónico al reclamado (al director de la sucursal) expresándole que le enviará copia de la denuncia la representante de la parte reclamante. El mismo día 17 de abril de 2020 la representante de la parte reclamante envía un correo electrónico al director de la sucursal en el que se presenta y manifiesta adjuntar la denuncia. Adjunta al escrito la denuncia presentada el día 16 de abril de 2020 ante los Mossos d’Esquadra. La denuncia es presentada por D.D.D. en representación de la parte reclamante. Adjunta escrito en el que la hija de la parte reclamante autoriza a D.D.D. a interponer la denuncia en nombre de la parte reclamante y su hija. La denuncia se interpone contra la residencia de ancianos en la que se encontraba la parte reclamante cuando acaeció el robo de sus pertenencias. En la denuncia se indica que le habrían sustraído la tarjeta de crédito, el teléfono móvil, y el DNI entre otras pertenencias. En la propia denuncia cita que contactaron con el reclamado y que éste les informó de que se había retirado dinero con la tarjeta con anterioridad. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 11/110 - El día 20 de abril de 2020 el reclamado (director de la sucursal) dirige un correo electrónico a la representante de la parte reclamante en el que le comunica que ha dado traslado de la denuncia al departamento de seguridad y fraudes. Asimismo, en la denuncia se indica que el director de la sucursal les habría comunicado que alguien habría solicitado la emisión de dos tarjetas a nombre de la parte reclamante. - El día 1 de mayo de 2020 D.D.D. presenta ante los Mossos d’Esquadra una ampliación de la denuncia en nombre de la parte reclamante, en la que señala que el director de la sucursal del reclamado les ha comunicado que alguien ha contactado identificándose como la parte reclamante solicitando el alta de un número de teléfono en la base de datos del reclamado como teléfono de contacto de la parte reclamante. Expresa que desde el banco le han comunicado que esa gestión debe hacerse presencialmente. Productos de la parte reclamante impactados Manifiesta la parte reclamante que los terceros realizaron operaciones tras el robo sobre los siguientes productos que tenía contratados con el reclamado con anterioridad (expresa no haber realizado ella los movimientos posteriores al 11 de abril de 2020): - Cuenta número ***CUENTA.1 de la cual el reclamado especifica que no está cancelada. Facilita la copia de la información precontractual y del contrato. La parte reclamante en la demanda reconoce que era titular de la cuenta con anterioridad al robo. La parte reclamante facilita un listado de movimientos sobre esta cuenta realizados entre el 17 de abril y el 7 de julio de 2020, realizados con posterioridad a la denuncia que realizó la parte reclamante ante el BBVA el 13 de abril. Además, en la demanda la parte reclamante expresa que “todos los movimientos realizados desde 17 de Abril hasta 5 de Mayo de 2020, han sido realizados por los delincuentes, y todos los movimientos realizados desde 17 de Junio hasta 7 de Julio de 2020, han sido realizados por el Banco”. Igualmente en la demanda la parte reclamante expresa que la cuenta “ha sido bloqueada por el Banco suponemos que durante la primera semana de Junio de 2020”. El reclamado facilita una impresión de pantalla en la que se aprecia la ejecución de un bloqueo para cargos en esta cuenta de fecha 31 de agosto de 2020. En las observaciones constan referencias a bloqueos previos realizados el día 4 de mayo de 2020 y el día 11 de agosto de 2020. - Cuenta número (***CUENTA.2) -reconocida por la parte reclamante su titularidad con anterioridad al robo en la demanda-. La parte reclamante facilita un listado de movimientos sobre esta cuenta realizados entre el 14 de abril y el 17 de junio de 2020. Según expresa en la demanda “los movimientos efectuados desde 13 de Abril hasta 4 de Mayo de 2020, han sido realizados por los delincuentes” y “Los movimientos realizados desde 5 de Mayo hasta 17 C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 12/110 de Junio de 2020, han sido realizados por el Banco”. Igualmente en la demanda la parte reclamante expresa que la cuenta se encuentra bloqueada (“creemos que desde mediados de Junio de 2020”). El reclamado facilita una impresión de pantalla en la que se aprecia la ejecución de un bloqueo para cargos en esta cuenta de fecha 4 de mayo de 2020. Asimismo, proporciona una captura de pantalla que refiere el bloqueo de abonos realizado el día 25 de junio de 2020. - Tarjeta número ***TARJETA.1 vinculada al contrato ***CONTRATO.2 que fue sustraída según lo dispuesto en la demanda. o Facilita una impresión de pantalla en la que se aprecia la ejecución de una operación de bloqueo manual de la tarjeta ***TARJETA.1 el día 13 de abril de 2020 a las 18:06 horas. o Adjunta el escrito del día 15 de mayo de 2020 en el que la parte reclamante comunica al reclamado, como titular de la tarjeta, el robo y solicita la devolución del importe de un conjunto de movimientos que lista. El listado incluye cargos producidos entre el 11 de abril y el 30 de abril de 2020. En la demanda expresa que el banco “ha reconocido responsabilidad sobre los movimientos operados en relación con dicha tarjeta por importe de 5559,88 euros.” o En un escrito expresa el reclamado que “Se ha solicitado información sobre las operaciones realizadas con tarjeta con posterioridad a la fecha del bloqueo, y sobre los cambios en el bloqueo de tarjeta de referencia”. Igualmente, la parte reclamante manifiesta que los terceros suplantaron su identidad contratando nuevos productos con el banco. A saber: - Préstamo de 4.000 euros suscrito el 12 de abril de 2020 del cual el reclamado especifica que no está cancelado. Facilita la copia del contrato, en el que figuran el nombre, apellidos, dirección, y DNI de la parte reclamante. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA” con fecha 12 de abril de 2020. - Tarjeta número ***TARJETA.2 vinculada al contrato ***CONTRATO.3. Sobre esta tarjeta la parte reclamante señala se solicitó desde su número de teléfono móvil y se envió a su dirección. Asimismo expresa que los terceros la usaron posteriormente para realizar operaciones. El reclamado manifiesta que se contrató el día 15 de abril de 2020 y facilita la copia de del contrato, en el que figuran el nombre, apellidos, y DNI de la parte reclamante. Refiere que se firmó electrónicamente la solicitud de la tarjeta a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA” el 15 de abril de 2020. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 13/110 La parte reclamante adjunta el escrito del día 16 de junio de 2020 en el que comunica al reclamado, como titular de la tarjeta, el robo y solicita la devolución del importe de un conjunto de movimientos que lista. El listado incluye cargos producidos entre el 17 de abril y el 3 de mayo de 2020. En la demanda expresa que el banco “ha reconocido responsabilidad sobre los movimientos operados en relación con dicha tarjeta, por importe de 404,84 euros.” El reclamado aporta una captura de pantalla que muestra la incidencia con motivo “robo de tarjeta” comunicada el día 16 de junio de 2020. En los cometarios figura, para el día 16 de junio de 2020 el siguiente: “Alta de incidencia/fraude Adjuntamos denuncia presentada y bloqueamos claves de acceso, tarjeta, cuenta, y damos de baja el móvil validado. Informado el departamento de fraudes”. Facilita además una captura de pantalla de sus sistemas en la que consta el 6 de julio de 2020 como fecha de bloqueo de la tarjeta. Asimismo la tarjeta figura en situación de extravío y el contrato en estado cancelado. - Cuenta número ***CUENTA.3 (la parte reclamante cita “una cuenta terminada en XX” en correo del 9 de septiembre de 2020) suscrita el 27 de abril de 2020 de la cual el reclamado especifica que no está cancelada. Facilita la copia de del contrato, en el que figuran el nombre, apellidos, dirección, y DNI de la parte reclamante. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA” con fecha 27 de abril de 2020. El reclamado señala además otros detalles de la contratación (dirección IP y validación en la “app” del reclamado a través de huella dactilar). Además de los anteriores, el reclamado ha referido los siguientes productos contratados con posterioridad al 10 de abril de 2020 que se encuentran cancelados (en la demanda la parte reclamante refiere asimismo que el banco expidió dos nuevas tarjetas bancarias a solicitud de los delincuentes): - Tarjeta número ***TARJETA.3 vinculada al contrato ***CONTRATO.4 suscrito el 15 de abril de 2020 de la cual el reclamado especifica que se encuentra cancelada. Facilita la copia de del contrato, en el que figuran el nombre, apellidos, DNI de la parte reclamante, y el correo electrónico ***EMAIL.1. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA” con fecha 15 de abril de 2020. La dirección de correo electrónico ***EMAIL.1, según dispone el escrito presentado ante el juzgado de fecha 18 de mayo de 2020, sería una cuenta de la parte reclamante a la que habrían tenido acceso los terceros. Anexa también impresión de pantalla de sus sistemas en la que consta que el contrato se encuentra cancelado con referencia al 4 de mayo de 2020 como fecha de bloqueo. - Tarjeta número ***TARJETA.4 vinculada al contrato ***CONTRATO.5 suscrito el 15 de abril de 2020 de la cual el reclamado especifica que se encuentra cancelada. Facilita la copia de del contrato, en el que figuran el nombre, C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 14/110 apellidos, DNI de la parte reclamante, y el correo electrónico ***EMAIL.1. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA” con fecha 15 de abril de 2020. La dirección de correo electrónico ***EMAIL.1, según dispone el escrito presentado ante el juzgado de fecha 18 de mayo de 2020, sería una cuenta de la parte reclamante a la que habrían tenido acceso los terceros. Anexa también impresión de pantalla de sus sistemas en la que consta que el contrato se encuentra cancelado con referencia al 4 de mayo de 2020 como fecha de bloqueo. Situación del procedimiento judicial Adjunta la parte reclamante la demanda de juicio ordinario contra el reclamado presentada el 1 de septiembre de 2020 que contiene la descripción de los hechos. Manifiesta el reclamado lo siguiente en relación con el procedimiento judicial abierto y su responsabilidad en la suplantación de identidad sufrida por la parte reclamante: “La parte reclamante sostiene que no ha prestado el consentimiento en las operaciones efectuadas entre el 10 y 13 de abril de 2020. No obstante, no podemos considerar aplicable el artículo 31 del Real Decreto Ley de Servicios de Pago que dispone que “en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante le devolverá de inmediato el importe de la operación no autorizada y, en su caso, restablecerá en la cuenta de pago en que se haya adeudado dicho importe el estado que habría existido de no haberse efectuado la operación de pago no autorizada” pues las operaciones fueron autenticadas y registradas con exactitud y contabilizadas, y no se vieron afectadas por un fallo técnico o cualquier otra deficiencia. El artículo 30 de la Ley de Servicios de Pago establece que “cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá a su proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico o cualquier otra deficiencia. A estos efectos, en el marco del procedimiento judicial tramitado por el Juzgado de Primera Instancia N 10 de Barcelona (***PROCEDIMIENTO.1), se está discutiendo la procedencia o no de tal reclamación, donde conforme a las pruebas aportadas por las partes se resolverá si existió por parte de la parte reclamante falta de diligencia en la custodia de los mecanismos de seguridad facilitados por el Banco.” La parte reclamante ha señalado, con relación a la situación del procedimiento judicial abierto, lo siguiente: C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 15/110 “1.-Proceso penal: ha finalizado recientemente la fase de instrucción. Solicitados los escritos de calificación. 2.-Proceso civil: señalado juicio para el 20 de julio de 2022.” Situación en los sistemas de información crediticia Señala el reclamado que los vencimientos cuyo impago motivo la inclusión de los datos de la parte reclamante en sistemas de información crediticia derivaron de los contratos de préstamo ***CONTRATO.1 y de tarjeta ***CONTRATO.2 (tarjeta número ***TARJETA.1). A tal efecto aporta (EscritoReclamado#2) la siguiente información: - Impresión de pantalla de sus sistemas en la que, para el préstamo figura un saldo impagado de 4.466,27 euros con fecha de primer y último vencimientos el 31 de mayo de 2020 y el 9 de diciembre de 2021, respectivamente. Señala que el 6 de septiembre de 2020 procedió al registro de la deuda en el fichero BADEXCUG (importe de alta 937,37 euros) y el 7 de enero de 2022 ordenó su baja (importe de baja 4.493,12 euros). Asimismo, indica que el 23 de diciembre de 2021 procedió al registro de la deuda en el fichero ASNEF (importe de alta 4.485,71 euros) y el 7 de enero de 2022 ordenó su baja (importe de baja 4.485,71 euros). - Impresión de pantalla de sus sistemas en la que, para la tarjeta figura un saldo impagado de 6.544,43 euros con fecha de primer y último vencimientos el 5 de mayo de 2020 y el 9 de diciembre de 2021, respectivamente. Señala que el 16 de agosto de 2020 procedió al registro de la deuda en el fichero BADEXCUG (importe de alta 5.494,75 euros) y el 7 de enero de 2022 ordenó su baja (importe de baja 6.607,46 euros). Asimismo, indica que el 23 de diciembre de 2021 procedió al registro de la deuda en el fichero ASNEF (importe de alta 6.590,06 euros) y el 7 de enero de 2022 ordenó su baja (importe de baja 6.590,36 euros). Sobre el motivo por el que se incorporaron las deudas de la parte reclamante a los sistemas de información crediticia a pesar de existir una reclamación judicial que afectaba a las mismas, el reclamado manifiesta lo siguiente: “Notificada a BBVA una demanda en el que cuestiona la certeza de la deuda el letrado del procedimiento tiene instrucciones de solicitar: (

1. i)la baja, según corresponda temporal o definitiva; (
2. ii)solicitar que el contrato no se informe en sistemas de información crediticia a futuro. En este caso no se solicita la baja o no inclusión de los contratos por un error puntual no intencionado.” Expresa, en relación con el motivo de la exclusión de los datos de la parte reclamante de los ficheros de morosidad, que se solicitó “en la tramitación del expediente que nos traslada la AEDP [sic]”. Facilita el reclamado una carta de fecha 10 de enero de 2022 en la que manifiesta que en dicha fecha los datos de la parte reclamante y de su hija no se encuentran cedidos por BBVA a sistemas de información crediticia. Según los datos aportados por Equifax, a día 14 de junio de 2022, no existen deudas informadas por el reclamado en relación con la parte reclamante en sus ficheros de C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 16/110 información crediticia. Sin embargo, sí refiere la inscripción y posterior baja de los siguientes en ASNEF: - Préstamo personal de código de operación ***CONTRATO.1 con saldo impagado de 4.485,71 euros. Refiere 18 cuotas impagadas entre los meses de mayo de 2020 y diciembre de 2021. Especifica como fechas de alta y baja en ASNEF el 23 de diciembre de 2021 y el 7 de enero de 2022, respectivamente. Consigna el 22 de enero de 2022 como “fecha de visualización”. - Tarjeta de crédito de código de operación ***CONTRATO.2 con saldo impagado de 6.590,06 euros. Refiere 7 cuotas impagadas entre los meses de mayo de 2020 y diciembre de 2021. Especifica como fechas de alta y baja en ASNEF el 23 de diciembre de 2021 y el 7 de enero de 2022, respectivamente. Consigna el 22 de enero de 2022 como “fecha de visualización”. Según los datos aportados por Experian no existen deudas informadas por el reclamado en relación con la parte reclamante en sus ficheros de información crediticia. Sin embargo, sí refiere la inscripción y posterior baja de los siguientes en BADEXCUG: - Préstamo personal de código de operación ***CONTRATO.1 con fechas de alta y baja en BADEXCUG el 6 de septiembre de 2020 y el 7 de enero de 2022, respectivamente. - Tarjeta de crédito de código de operación ***CONTRATO.2 con fechas de alta y baja en BADEXCUG el 16 de agosto de 2020 y el 7 de enero de 2022, respectivamente. Situación de los procedimientos de recuperación de las deudas Según la información facilitada por el reclamado se asignó a Axactor la deuda de la parte reclamante para su recuperación el día 12 de julio de 2021. Igualmente especifica que éstas fueron desasignadas el 16 de noviembre de 2021. Axactor ha confirmado el tratamiento de los datos personales de la parte reclamante por cuenta del reclamado en virtud del contrato de prestación de servicios recuperatorios que mantienen suscrito. Sobre ello facilita la siguiente información: - Adjunta al escrito el contrato de prestación de servicios recuperatorios suscrito entre el reclamado y Axactor del día 2 de julio de 2021. Incluye la condición general octava y el anexo 8.2 relativos al tratamiento de datos personales. En este último se especifica que Axactor actúa como encargado de tratamiento del reclamado con acceso a los datos de los clientes (nombre, apellidos, dirección postal, email, teléfono y datos económicos) para la ejecución de las prestaciones del contrato. - Adjunta al escrito el registro de las categorías de actividades de tratamiento que efectúa Axactor por cuenta del reclamado que incluye la información sobre la actividad “Recuperación de activos impagados”. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 17/110 - Adjunta los expedientes de recuperación de deuda gestionados por Axactor para el reclamado en los que la parte reclamante ostenta la posición de deudora. Incluyen lo siguiente: o Expediente relativo a un préstamo personal de cuatro mil euros concedido el 12 de abril de 2020 de referencia cliente ***CONTRATO.1. Consigna las fechas de alta y baja del expediente 15 de julio de 2021 y 17 de noviembre de 2021, respectivamente. Contiene el nombre, apellidos, dirección, y número de DNI de la parte reclamante, además de la información relativa al préstamo. Incluye una única gestión, de fecha 10 de septiembre de 2021, denominada “101 - Carta Hello. Petición: (…). Dirección: ***DIRECCIÓN.1. BarCode: (…)”. o Expediente relativo a una tarjeta de 6.463,10 euros cedidos con fecha de inicio de la deuda 5 de mayo de 2020 y referencia cliente ***CONTRATO.2. Consigna las fechas de alta y baja del expediente 15 de julio de 2021 y 17 de noviembre de 2021, respectivamente. Contiene el nombre, apellidos, dirección, y número de DNI de la parte reclamante, además de la información relativa a la deuda. No incluye gestiones realizadas en relación con este expediente. o Expediente relativo a un descubierto de 74,23 euros cedidos con fecha de inicio de la deuda 4 de mayo de 2020 y referencia cliente ***REFERENCIA.1. Consigna las fechas de alta y baja del expediente 15 de julio de 2021 y 17 de noviembre de 2021, respectivamente. Contiene el nombre, apellidos, dirección, y número de DNI de la parte reclamante, además de la información relativa a la deuda. No incluye gestiones realizadas en relación con este expediente. Entre la información facilitada figura además que Intrum habría accedido a los datos de la parte reclamante por cuenta del reclamado. A este respecto, incluye capturas de pantalla de los sistemas del reclamado con la siguiente información: - Expediente relativo a una deuda por importe de 12.416,29 euros por el producto “TARJETAS DE CRÉDITO” en situación de “PROCESO FINALIZADO” a día 18 de noviembre de 2021. - El día 10 de mayo de 2021 figura la primera anotación. Manifiesta el reclamado que en dicha fecha se “inicia procedimiento prejudicial y se acompaña la liquidación de la tarjeta”. - El día 18 de noviembre de 2021 figura la última anotación. Manifiesta el reclamado que en dicha fecha se “cancela el procedimiento por ser la deuda inferior a 6.000 euros”. CONCLUSIONES Según la información recabada existen procedimientos judiciales abiertos en relación con los hechos investigados en las presentes actuaciones. Uno de los procedimientos judiciales se inició a raíz de una demanda de juicio ordinario presentada por la parte C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 18/110 reclamante contra el (***PROCEDIMIENTO.1). reclamado el día 1 de septiembre de 2020 Estas actuaciones previas de investigación fueron iniciadas a raíz de una reclamación en la que la parte reclamante expresa que, tras comunicar al reclamado que fue víctima del robo de su bolso el reclamado no procedió correctamente permitiendo que terceros suplantasen su identidad tanto operando con sus productos bancarios como contratando nuevos productos a su nombre. Manifiesta además la parte reclamante que, como consecuencia de las operaciones realizadas por los suplantadores, la entidad le ha reclamado el importe de unas deudas a través de empresas de recobros y ha incluido sus datos personales en sistemas de información crediticia. Entre la información obtenida se señala que los suplantadores habrían podido utilizar tanto la línea de teléfono de la parte reclamante como su dirección de correo electrónico. La parte reclamante se trata de una persona que fue víctima del robo mientras se sometía a un tratamiento médico en las instalaciones de una residencia de ancianos. Las comunicaciones con el reclamado en nombre de la parte reclamante al objeto de bloquear sus productos y evitar las suplantaciones de identidad fueron realizadas, además de por la propia reclamante, por su hija y por otra persona (su representante) en su nombre. Ello dio lugar a que los distintos departamentos del reclamado (sucursal de la que era clienta, departamento de atención al cliente, etc.) procedieran de formas distintas a la hora de validar la capacidad de representación de estos terceros de la parte reclamante. El detalle de estas cuestiones se ha incluido en un apartado ad hoc del informe de inspección. La cronología de los hechos extraída de los documentos aportados al presente expediente se ha consignado igualmente en el apartado correspondiente del citado informe de inspección. De ella se extraen los siguientes datos de interés para contextualizar los hechos: - Los “delincuentes”, por lo que se ha visto, habrían sustraído pertenencias de la parte reclamante que les facilitaron la suplantación de identidad: documento nacional de identidad “físico”, línea de teléfono móvil, y tarjeta de crédito. - Los “delincuentes”, por lo que se puede deducir de la información obtenida, habrían tenido acceso al buzón de correo electrónico y a la banca online de la parte reclamante. - La parte reclamante el 14 de abril comunicó a la sucursal del reclamado de referencia el robo con indicación de que le habían sustraído además de la tarjeta, el documento nacional de identidad y el teléfono si bien solicitó únicamente la cancelación de sus tarjetas. La tarjeta que tenía operativa se bloqueó el 13 de abril (alguien se comunicó por teléfono previamente). Sin embargo, esta tarjeta se desbloqueó posteriormente y los “delincuentes” pudieron hacer movimientos hasta el 30 de abril (el reclamado no ha argumentado por qué se produjo el desbloqueo). Además, los “delincuentes” habrían operado con los productos de la parte reclamante y contratado nuevos productos suplantados su identidad. Se listan a continuación: C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 19/110 - Préstamo suscrito el 12 de abril de 2020 (con anterioridad a la comunicación del robo al reclamado) del cual se ha facilitado la copia del contrato en la que figuran los datos personales de la parte reclamante. Refiere el reclamado que se firmó a distancia electrónicamente a solicitud de la parte reclamante. - Tarjeta número ***TARJETA.1 de la cual la parte reclamante reconoce que era titular con anterioridad al robo. Se facilita un listado que incluye cargos producidos entre el 11 de abril y el 30 de abril de 2020. El reclamado aporta información en la que se aprecia la ejecución de una operación de bloqueo el día 13 de abril de 2020. No ha explicado por qué se produjeron cargos con posterioridad. - Cuenta número ***CUENTA.1 de la cual la parte reclamante reconoce que era titular de la cuenta con anterioridad al robo. Manifiesta que los movimientos realizados entre el día 17 de abril y el 5 de mayo de 2020 fueron realizados por los suplantadores. El reclamado facilita información en la que consta un primer bloqueo de los cargos sobre esta cuenta el día 4 de mayo de 2020. - Cuenta número ***CUENTA.2 de la cual la parte reclamante reconoce que era titular con anterioridad al robo. Manifiesta que los movimientos realizados entre el día 13 de abril y el 4 de mayo de 2020 fueron realizados por los suplantadores. El reclamado facilita información en la que consta un primer bloqueo de los cargos sobre esta cuenta el día 4 de mayo de 2020. - Tarjeta número ***TARJETA.2 que se contrató el día 15 de abril de 2020 (en esa fecha consta que se había comunicado el robo sufrido a la sucursal, pero no se había facilitado la denuncia ante las fuerzas y cuerpos de seguridad) con los datos de la parte reclamante y se firmó a distancia electrónicamente. El reclamado señala que se envió a la dirección de la parte reclamante. Se facilita un listado que incluye cargos producidos entre el 17 de abril y el 3 de mayo de 2020. Consta que el robo de la tarjeta fue comunicado el día 16 de junio de 2020. - Tarjeta número ***TARJETA.3 que se contrató el día 15 de abril de 2020 (en esa fecha consta que se había comunicado el robo sufrido a la sucursal, pero no se había facilitado la denuncia ante las fuerzas y cuerpos de seguridad) con los datos de la parte reclamante y se firmó a distancia electrónicamente. El reclamado facilita información en la que consta que el contrato se encuentra cancelado con referencia al 4 de mayo de 2020 como fecha de bloqueo. - Tarjeta número ***TARJETA.4 que se contrató el día 15 de abril de 2020 (en esa fecha consta que se había comunicado el robo sufrido a la sucursal, pero no se había facilitado la denuncia ante las fuerzas y cuerpos de seguridad) con los datos de la parte reclamante y se firmó a distancia electrónicamente. El reclamado facilita información en la que consta que el contrato se encuentra cancelado con referencia al 4 de mayo de 2020 como fecha de bloqueo. - Cuenta número ***CUENTA.3 (la parte reclamante cita “una cuenta terminada en XX” en correo del 9 de septiembre de 2020) suscrita el 27 de abril de 2020. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 20/110 Se facilita la copia de del contrato en la que figuran los datos de la parte reclamante. Refiere además que se firmó a distancia electrónicamente. El reclamado ha facilitado documentación que recoge el procedimiento que sigue en términos de prevención de fraudes y estafas. Incluye instrucciones para las oficinas al objeto de registrar en los sistemas las comunicaciones de hurtos o extravíos de los documentos de identificación de los clientes. Incluye asimismo la obligación del cliente de custodiar tanto la tarjeta como el “PIN” y comunicar inmediatamente las incidencias. Indica asimismo que en estos casos lo inmediato es el bloqueo de la tarjeta. A raíz de las acciones anteriormente descritas se derivaron algunas deudas que el reclamado inscribió en sistemas de información crediticia. El detalle de las inscripciones y posteriores exclusiones se puede consultar en el apartado correspondiente del informe de inspección. La exclusión, según expresa el reclamado, se solicitó en la tramitación del expediente trasladado por la AEPD. Igualmente, el reclamado manifiesta que el procedimiento es por no incluir aquellas deudas cuya certeza se encuentra cuestionada en un procedimiento, si bien en este caso se produjo “un error puntual no intencionado”. Consta asimismo que las deudas fueron asignadas (y posteriormente desasignadas) a dos entidades de recuperación por el reclamado. QUINTO: Con fecha 11 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BBVA a fin de imponerle multas por un importe total de 1.640.000 euros, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta comisión de las siguientes infracciones: Tres relacionadas con el caso concreto denunciado por la reclamante: - Por la presunta infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del RGPD, en relación con la contratación no autorizada de productos. - Por la presunta infracción del artículo 32 del RGPD tipificada en el artículo 83.4 del mismo Reglamento, por la falta de medidas de seguridad en relación con los procedimientos de comunicación, inclusión y mantenimiento en los sistemas de información crediticia de datos personales - Por la presunta infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del mismo Reglamento, en relación con la incorporación de datos personales en los sistemas de información crediticia. Y dos relacionadas con la forma en la que se establecieron los procedimientos implantados por el BBVA y que fueron revelados a través de la información aportada por la entidad financiera durante las actuaciones de investigación: - Por la presunta infracción del artículo 25 del RGPD tipificada en el artículo 83.4 del mismo Reglamento. - Por la presunta infracción del artículo 32 del RGPD tipificada en el artículo 83.4 del mismo Reglamento, por con la falta de medidas de seguridad en relación con los procedimientos de contratación de productos financieros C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 21/110 En el citado acuerdo de inicio se le indicaba al BBVA que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó al BBVA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 13 de enero de 2023, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 13 de enero de 2023, BBVA presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones, que se le facilite copia de los documentos obrantes en el expediente, así como aclaración sobre el importe de la sanción. SÉPTIMO: Con fecha 26 de enero de 2023, la Directora de esta Agencia dicta resolución de rectificación de errores, por la cual se corrige el error detectado en la página 42 del acuerdo de inicio del presente procedimiento, concediendo al BBVA un nuevo plazo de diez días hábiles para que formule las alegaciones y proponga las pruebas que considere procedentes y otorgando un nuevo plazo de diez días para el pago voluntario de la sanción. La citada resolución se notifica a BBVA en fecha 27 de enero de 2023, como consta en el acuse de recibo que obra en el expediente OCTAVO: Con fecha de 26 de enero de 2023 la secretaria del procedimiento dicta acuerdo de remisión al BBVA copia del expediente. El citado acuerdo se notifica a BBVA en fecha 30 de enero de 2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 10 de febrero de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de BBVA en el que, por una parte, se aduce alegaciones al acuerdo de inicio respecto a la presunta infracción del artículo 25 del RGPD y a la presunta infracción del artículo 32 del RGPD por falta de medidas de seguridad en relación con los procedimientos de contratación de productos financieros y, por otra parte, se acepta la responsabilidad en la comisión de las siguientes infracciones recogidas en el acuerdo de inicio relacionadas con el caso concreto reclamado ante la Agencia que dio origen a la investigación realizada: - La infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del RGPD, con relación a la contratación no autorizada de productos. - La infracción del artículo 32 del RGPD tipificada en el artículo 83.4 del mismo Reglamento, por la falta de medidas de seguridad con relación a los procedimientos de comunicación, inclusión y mantenimiento en los sistemas de información crediticia de datos personales, - La infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del mismo Reglamento, con relación a la incorporación de datos personales en los sistemas de información crediticia. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 22/110 DÉCIMO: Con fecha 13 de julio de 2023, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00068/2022. Asimismo, se daban por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el BBVA, y la documentación que a ellas acompaña. Por último, se daba por reproducida a efectos probatorios, sentencia aportada por la parte reclamante, dictada por el Juzgado de Primera Instancia nº 10 de Barcelona de fecha ***FECHA.1, con ***SENTENCIA.1. Ese mismo día, 13 de julio de 2023, esta Agencia requirió a BBVA para que en el plazo de diez días hábiles presentara la siguiente información: 1) La evaluación de impacto de protección de datos (en adelante EIPD), fechada y firmada, en materia del tratamiento de los datos personales de los clientes del BBVA en materia de “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA”, vigente el 14/04/2020, fecha en la que la hija de la parte reclamante comunicó al BBVA el robo sufrido por la parte reclamante (“móvil, monedero, tarjetas, etc.”), así como toda la documentación previa a la EIPD en la que se haya plasmado la necesidad de la decisión de realizar la EIPD; asimismo se precisa toda la documentación elaborada con ocasión de la realización de la EIPD y justificativa de los resultados obtenidos en la EIPD y de las medidas adoptadas al respecto, incluyendo la documentación relativa a participación del Delegado de Protección de Datos del BBVA en la elaboración de la misma. En el caso de que se hubiera considerado que no procedía realizar una EIPD, la documentación justificativa (fechada y firmada) en la que se recojan los motivos por los que el BBVA consideraba que no estaba obligado a hacer la EIPD, incluyendo la documentación relativa a la intervención del Delegado de Protección de Datos donde expresó su criterio en esta cuestión. En tal caso, aportar la documentación acreditativa del análisis de riesgos efectuado, incluyendo toda la elaborada, justificativa de los resultados obtenidos y de las medidas adoptadas. 2) Documentación fechada y firmada relativa a las medidas técnicas y organizativas que tenía previstas el BBVA en fecha 14/04/2020 para evitar el fraude por suplantación de identidad, concretamente, en las operaciones a través de “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA”, cuando se ha producido la sustracción del documento de identidad, teléfono móvil (donde BBVA envía el factor de autenticación) o las tarjetas de crédito, y esta circunstancia ha sido comunicada por el cliente. 3) Documentación fechada y firmada relativa a las medidas técnicas y organizativas que el BBVA tenía implantadas con fecha 14/04/2020, para que las comunicaciones realizadas a la entidad por sus clientes por la pérdida, extravío o sustracción del documento de identidad, teléfono móvil (donde BBVA envía el factor de autenticación) C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 23/110 o las tarjetas de crédito, produzcan efecto en sus diversos canales de relación con el cliente relativos la operativa que este pueda realizar. El citado acuerdo se notifica a BBVA en fecha 14 de julio de 2023, como consta en el acuse de recibo que obra en el expediente. En la actualidad, no consta en la AEPD que BBVA hubiera presentado escrito de respuesta al requerimiento de información de esta Agencia. UNDÉCIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: A principios de abril de 2020, la parte reclamante tenía dos cuentas abiertas en BBVA, la nº. ***CUENTA.1 y la nº. ***CUENTA.2, además de una tarjeta de crédito, número ***TARJETA.1 SEGUNDO: Conforme a la sentencia ***SENTENCIA.1 de ***FECHA.1, dictada por el Juzgado de Primera Instancia nº 10 de Barcelona, con fecha 10 de abril de 2020, estando ingresada en la residencia (…) la parte reclamante fue víctima del robo de su bolso en el que tenía, entre otras cosas, el teléfono móvil, el documento nacional de identidad, y la tarjeta de crédito número ***TARJETA.1. TERCERO: Con fecha 12 de abril de 2020 fue contratado con BBVA un préstamo con código de operación ***CONTRATO.1 por un importe de 4.000 euros. El BBVA facilita la copia del contrato, en el que figuran el nombre, apellidos, dirección, y DNI de la parte reclamante. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA” con fecha 12 de abril de 2020. CUARTO: Con fecha 13 de abril de 2020 la parte reclamante solicitó a BBVA el bloqueo de su tarjeta número ***TARJETA.1 al percatarse de la sustracción de esta según detalla en el escrito de demanda. Ese mismo día BBVA procedió al bloqueo de la tarjeta de manera inmediata, exactamente a las 18:07 h. QUINTO: Con fecha 14 de abril de 2020 se produce el siguiente intercambio de correos entre la hija de la parte reclamante y BBVA: - Desde el correo electrónico de la hija de la parte reclamante ***EMAIL.2 (página 257 del expediente), se envió el siguiente mensaje: “Hola Os escribo desde USA C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 24/110 Ayer le robaron a mi madre, en la residencia en la que se encuentra ingresada por su tratamiento de cancer, el móvil, el monedero y tarjetas etc. por favor urgente cancelar todas sus tarjetas, creo que tiene 2 pero no tengo los números conmigo aqui Donde os puedo llamar ¿??? Gracias -B.B.B.” (el subrayado es nuestro). - Desde el correo ***USUARIO.1@bbva.com, se envía el siguiente mensaje: “Buenos días B.B.B. Ahora he visto tu e mail. Solamente tiene una tarjeta y veo que ayer 13/04/2020 a las 18:06 fue bloqueada. Llamasteis vosotros al contact center de BBVA??? Lo que veo que tiene diversos cargos a través de banca online que supongo no ha realizado ella. Adjunto cargos realizados para que le des un vistazo… Si no fueran correctos necesitamos una denuncia de los mossos para poder tramitar el alta del fraude. Espero que ella esté bien. Att,” - Desde el correo ***EMAIL.2 se envía el siguiente mensaje: “Hola a todos, envío este email para poder conectar a E.E.E. y F.F.F. del BBVA, con G.G.G., Directora de la residencia (…) en la que se encuentra mi madre, y D.D.D, familiar involucrado en el cuidado de mi madre, al estar yo en USA. E.E.E., aquí adjunto toda la información de contacto, para que podáis comunicar directamente, al estar yo en USA con 7hs de diferencia horaria. Para que todos estemos informados a la par, saber que G.G.G. está tramitando la denuncia con los Mossos, y si todo va bien mañana se podrá finalizar. Faltaban documentos que G.G.G. esta consiguiendo. La información bancaria enviada por ti E.E.E., ha sido trasladada a G.G.G. y los mossos, a efectos de que el proceso administrativo pueda lanzarse como debido. Pero además, la residencia necesita poder disponer de los horarios en los cuales se utilizo la tarjeta, porque nos dimos cuenta al ver los extractos de que le roban la tarjeta unos dias antes que le roban el móvil. O sea que la persona que efectúa esto lo hace en dos momentos distintos. Por ello, te ruego E.E.E. que puedas ingresar mañana en el sistema del banco, y buscar mas detalle de las operaciones tarjeta VISA. De esta manera, la residencia puede definir con mayor precisión la visualización de todas las cámaras de seguridad de la clínica, dentro del marco de la investigación interna que están efectuando. Es muy posible que la persona que haya realizado el robo siga trabajando ahí, en estos momentos. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 25/110 Os agradezco a todos desde ya vuestra colaboración, y espero que la conexión directa, no a través de mí, sea mas fácil. Un abrazo, B.B.B.” SEXTO: El día 14 de abril de 2020 la identidad de la parte reclamante fue suplantada ante el BBVA en la realización de operaciones en la Cuenta número ***CUENTA.2, cuenta cuya titularidad era reconocida por la parte reclamante con anterioridad al robo. SÉPTIMO: Con fecha 15 de abril de 2020 la identidad de la parte reclamante fue suplantada ante el BBVA, con la contratación de los siguientes productos: - Tarjeta número ***TARJETA.2 vinculada al contrato ***CONTRATO.3. El BBVA facilita la copia de del contrato, en el que figuran el nombre, apellidos, y DNI de la parte reclamante, y refiere que que se firmó electrónicamente la solicitud de la tarjeta a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA. Esta tarjeta fue bloqueada con fecha 6 de julio de 2020. Asimismo, la tarjeta figura en situación de extravío y el contrato en estado cancelado - Tarjeta número ***TARJETA.3 vinculada al contrato ***CONTRATO.4. El BBVA facilita la copia de del contrato, en el que figuran el nombre, apellidos, DNI de la parte reclamante, y el correo electrónico ***EMAIL.1. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA”. BBVA aportó impresión de pantalla de sus sistemas (página 439 del expediente) en la que consta que el contrato se encuentra cancelado con referencia al 4 de mayo de 2020 como fecha de bloqueo - Tarjeta número ***TARJETA.4 vinculada al contrato ***CONTRATO.5. BBVA facilita la copia de del contrato, en el que figuran el nombre, apellidos, DNI de la parte reclamante, y el correo electrónico ***EMAIL.1. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA” BBVA aportó impresión de pantalla de sus sistemas (página 439 del expediente) en la que consta que el contrato se encuentra cancelado con referencia al 4 de mayo de 2020 como fecha de bloqueo OCTAVO: Con fecha 16 de abril de 2020, desde el correo electrónico ***USUARIO.2@bbva.com se envía el siguiente mensaje al correo ***EMAIL.2: “Buenos días B.B.B., espero que estéis todos bien con el tema coronavirus por EEUU, porque ya veo que se está extendiendo mucho todo lados. Siento mucho lo que le ha pasado a tu madre, lo primero que tenemos que hacer es presentar la denuncia de los "Mossos d'esquadra" lo más urgente posible. Quien hará la denuncia ?? Entiendo que la presentara la directora de la Residencia ¿o ?? Tan pronto la tenga por favor que nos la haga llegar. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 26/110 A partir de aquí se abrirá una investigación a ver qué ha pasado. Del tema de las transferencias no podemos hacer nada más que esperar a la investigación. Para cualquier tema dale el tlf mio ***TELÉFONO.2 a la directora de la Residencia para que se ponga en contacto conmigo y podamos tramitar todo esto correctamente y lo más rápido posible. Un saludo.” (el subrayado es nuestro) NOVENO: Con fecha 17 de abril de 2020, la representante de la parte reclamante, desde el correo ***EMAIL.3 envió un mensaje (página 203 del expediente) al correo del director de la sucursal ***USUARIO.2@bbva.com en el que se presenta y manifiesta adjuntar la denuncia presentada el día 16 de abril de 2020 ante los Mossos d’Esquadra. La denuncia es presentada por D.D.D. en representación de la parte reclamante. Adjunta escrito en el que (…) de la parte reclamante autoriza a D.D.D. a interponer la denuncia en nombre de la parte reclamante y (…). La denuncia se interpone contra la residencia de ancianos en la que se encontraba la parte reclamante cuando acaeció el robo de sus pertenencias. En la denuncia (página 532 y siguientes del expediente) se indica lo siguiente: “…Doña A.A.A. manifiesta que se siente rara y que, además, en la residencia le han robado: + el móvil + un monedero cuadrado con cremallera donde tenía su tarjeta de crédito, el DNI, su carné de conducir y su tarjeta sanitaria… …En resumen, los hechos denunciados son los siguientes: en el período temporal comprendido entre la fecha de 10 de abril de 2020 y 13 de abril de 2020, alguien de la residencia ha realizado varios hurtos a Doña A.A.A., tanto de dinero en efectivo, como de la tarjeta, retirando dinero de la cuenta y de la línea de crédito, y otra documentación personal de carácter esencial, también de su móvil, por valor conocido acumulado a fecha de hoy superior a los 13.500.- Euros. Todo apunta a que, durante este fin de semana del 11 al 13 de abril de 2020, la han sedado o anestesiado, ya que ella me manifestó que, en los últimos dos o tres días, se sentía rara, como mareada, cosa que nunca había manifestado antes, a pesar de la medicación que se estaba tomando…”. En la propia denuncia cita que contactaron con el reclamado y que éste les informó de que se había retirado dinero con la tarjeta con anterioridad a la comunicación por correo electrónico de la sustracción a BBVA el 14 de abril de 2020. DÉCIMO: El día 17 de abril de 2020 la identidad de la parte reclamante fue suplantada en la realización de operaciones en la Cuenta número ***CUENTA.1, de la cual BBVA especifica que no está cancelada. DÉCIMO PRIMERO: Con fecha 20 de abril de 2020 desde el correo electrónico ***USUARIO.2@bbva.com se envía un mensaje al correo electrónico de la representante de la parte reclamante ***EMAIL.3, en el que le comunica que ha dado traslado al departamento de seguridad y fraudes la denuncia interpuesta por la parte reclamante con fecha 16 de abril de 2020. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 27/110 DÉCIMO SEGUNDO: Con fecha 26 de julio de 2020, en contestación al requerimiento de información formulado por esta Agencia, BBVA aporta documento de fecha 27 de abril de 2020 de contratación de la Cuenta número ***CUENTA.3 de la cual BBVA especifica que no está cancelada. BBVA facilita copia de del contrato, en el que figuran el nombre, apellidos, dirección, y DNI de la parte reclamante. Refiere que se ha firmado electrónicamente a solicitud de la parte reclamante a través del canal “BANCA A DISTANCIA TELEFONÍA MÓVIL/ TARJETA. Además, BBVA cita otros detalles de la contratación (dirección IP y validación en la “app” del reclamado a través de huella dactilar). DÉCIMO TERCERO: Con fecha 30 de abril de 2020, desde el correo electrónico ***USUARIO.2@bbva.com se envía un mensaje (página 205 del expediente) al correo electrónico de la representante de la parte reclamante ***EMAIL.4, con copia ***EMAIL.3 y ***EMAIL.2, con el siguiente contenido (traducción no oficial, original en catalán): “Buenos días D.D.D., Según conversación telefónica esta mañana a las 12:22 nos ha llamado el teléfono ***TELÉFONO.1 haciéndose pasar por A.A.A., se ha identificado con el número de DNI correspondiente y nos ha solicitado dar de alta el teléfono móvil en la base de datos para poder acceder a la Banca Online. Evidentemente esta operativa no se puede hacer por teléfono y así les hemos trasladado, para que se personen en la oficina del BBVA para realizar estos trámites. y mirad que pasa con el teléfono ya que sigue activo. Saludos” Con fecha 1 de mayo de 2020 D.D.D., en representación de la parte reclamante presentó ante los Mossos d’Esquadra una ampliación de la denuncia (página 578 del expediente) en nombre de la parte reclamante con relación a los hechos manifestados por el director de la oficina con fecha 30 de abril de 2020. DÉCIMO CUARTO: Con fecha 5 de mayo de 2020, la parte reclamante presentó un escrito dirigido a Telefónica de España, S.A., en el que solicita la baja del número de móvil de la parte reclamante ***TELÉFONO.1. Manifiesta que han intentado desde el 14 de abril de forma infructuosa hacerlo, siguiendo a la fecha del escrito operativo. DÉCIMO QUINTO: Con fecha 6 de mayo de 2020, la abogada de la parte reclamante remite un escrito a BBVA (página 115 del expediente) en el que se le requiere a que de forma inmediata: “1º).- Paralicen, anulen y retrotraigan cualquier Operación bancaria que se haya realizado o se intente realizar desde la línea de móvil ***TELÉFONO.1 contra cualquier cuenta o producto bancario de mis representadas en BBVA, desde 10 de Abril de 2020. 2º).- Paralicen, anulen y retrotraigan cualquier operación bancaria que se intente de cualquier manera (presencial, telefónica. online, etc.) contra cualquier cuenta o producto bancario de mis representadas en BBVA, desde 10 de abril de 2020. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 28/110 3º).- Paralicen y no den curso a cualquier operación bancaria que se intente de cualquier manera (presencial, telefónica. online. etc..) contra cualquier cuenta o producto bancario de la sociedad vinculada a mis representadas (…). Todo ello con motivo de la sustracción fraudulenta de tarjeta de crédito y de móvil a la Sra. A.A.A., ocurrida entre los días 10 y 13 de abril de 2020 en la residencia (…) de Barcelona, debidamente denunciada ante la policía el día 16 de abril de 2020, y habida cuenta de que todas las peticiones verbales y escritas dirigidas desde el 14 de abril de 2020 al director de la Oficina de BBVA en ***DIRECCIÓN.2, ***LOCALIDAD.1, han quedado inatendidas por parte de BBVA, hecho que ha permitido a los delincuentes continuar operando desde el móvil y tarjeta sustraídos. Igualmente les avanzamos que pediremos la responsabilidad de BBVA por todos los daños y perjuicios causados a mis representadas, desde que se les comunicó la orden de paralización total en fecha de 14 de abril de 2020. en adelante. por todas las operaciones fraudulentas que los infractores han realizado y siguen realizando actualmente contra el patrimonio de mis representadas, ya que tales operaciones delictivas no se habrían podido consumar si BBVA hubiera atendido debidamente nuestra Orden de paralización total dada en fecha de 14 de abril de 2020“. (el subrayado es nuestro) DÉCIMO SEXTO: Con fecha 9 de mayo de 2020, la representante de la parte reclamante dirigió una comunicación a BBVA (página 213 del expediente) en la que solicita la devolución de las cantidades sustraídas a la parte reclamante y su hija entre el 13 de abril y el 5 de mayo de 2020. DÉCIMO SÉPTIMO: Con fecha 15 de mayo de 2020 la parte reclamante firma un escrito (que dirige a BBVA en el que, como titular de la tarjeta ***TARJETA.1 comunica la incidencia (robo) y solicita la devolución del importe de un conjunto de movimientos que lista. El listado incluye cargos producidos entre el 11 de abril y el 30 de abril de 2020 y el siguiente el comentario: “Cliente manifiesta que se encuentre en una residencia de ancianos confinada, y que le ha desaparecido el bolso con todas sus pertenencias dentro, entre ellas las tarjetas. Le han suplantado la identidad durante este mes en varias ocasiones, consiguiendo acceder a la banca online.” (el subrayado es nuestro) DÉCIMO OCTAVO: Con fecha 20 de mayo de 2020 el BBVA contestó (página 226 del expediente) al escrito dirigido por la representante de la parte reclamante de fecha 6 de mayo de 2020, solicitando acreditación de la representación en virtud “del art. 12 del Reglamento para la Defensa del Cliente en España del Grupo BBVA que exige la identificación y firma de los titulares, y en su caso, de la persona que los representa, debidamente acreditada”. En ese mismo escrito se manifiesta que la acreditación de la representación puede realizarse a través del envío de un documento firmado que contenga nombre completo, NIF, dirección completa y firma tanto del representante como del representado. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 29/110 DÉCIMO NOVENO: Con fecha 21 de mayo de 2020 la parte reclamante solicitó al Juzgado de Instrucción Nº 33 de Barcelona (en el marco de las Diligencias Previas (...)) la medida cautelar consistente en solicitar la baja de la línea ***TELÉFONO.3. Ello (página 268 del expediente) ya que “los investigados habían cambiado el teléfono asociado a la póliza de la Sra. A.A.A. al nuevo teléfono utilizado por ellos para delinquir que ya nos había confirmado BBVA”. VIGÉSIMO: Con fecha 29 de mayo de 2020 el Juzgado de Instrucción Nº 33 de Barcelona requiere, en el marco de las Diligencias Previas (...) (página 282 del expediente) que se sigue por una denuncia presentada por la parte reclamante por la presunta comisión de un delito de hurto, estafa y usurpación de estado civil, a BBVA el bloqueo de acceso por vías no presenciales a todos los productos de la parte reclamante. Asimismo, requiere en el marco de las Diligencias Previas (página 283 del expediente) referenciadas a Movistar que bloquee los números de teléfono asociados a la parte reclamante ***TELÉFONO.1 y ***TELÉFONO.3. Además, solicita los datos de la persona que dio el alta de la línea ***TELÉFONO.3. VIGÉSIMO PRIMERO: Con fecha 4 de junio de 2020 (página 215 del expediente), desde el correo electrónico ***EMAIL.5 se envía un mensaje a los correos “servicioatencioncliente@grupobbva.com” y a “defensordelclientebbva@grupobbva.com”, en el que se indica lo siguiente: “En relación con su comunicado de 20 de mayo de 2020, recibido por correo ordinario, en el que me solicitan me identifique como Abogada de Doña A.A.A. y de Doña B.B.B., paso a cumplimentar su petición, remitiéndoles la documentación siguiente: escrito de personación, de 14 de mayo de 2020, presentado telemáticamente al Juzgado de Instrucción nº. 33 de Barcelona, en autos de Diligencias Previas nº. (...), con comprobante de firma por todas las personas que aparecen en el mismo, en el que se acredita la voluntad de mis clientes de designarme como su abogada en este procedimiento, a todos los efectos, así como escrito posterior, de 18 de mayo de 2020. Asimismo, les remito correspondencia mantenida con el Director de la Oficina de BBVA en ***LOCALIDAD.1, Sr F.F.F., quien ha recibido instrucciones tanto verbales como escritas de parte de la Sra. B.B.B., de comunicar conmigo en calidad de Abogada de dichas señoras. Finalmente, pongo en copia a Doña B.B.B., y también al Sr F.F.F., Director de la Oficina indicada, quienes les van a confirmar por mail que estoy actuando en calidad de Abogada de las Sras. B.B.B. y A.A.A., a todos los efectos, tal como consta acreditado, desde mediados de abril de 2020.” Además, el mismo día 4 de junio de 2020 (página 219 del expediente), desde el correo electrónico ***EMAIL.2 se envía a “servicioatencioncliente@grupobbva.com” y a “defensordelclientebbva@grupobbva.com”, el mensaje transcrito en los dos párrafos anteriores y se manifiesta, con relación a dicho correo, lo siguiente: “Por la presente, confirmamos lo aquí abajo declarado por nuestra abogada C.C.C..” C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 30/110 VIGÉSIMO SEGUNDO: Con fecha 8 de junio de 2020 desde el correo ***EMAIL.3 se envió un mensaje al BBVA (página 208 del expediente), a las direcciones ***USUARIO.2@bbva.com y ***USUARIO.3@bbva.com en la que solicita el reintegro de los cargos efectuados entre el 11 y el 30 de abril a la parte reclamante. El día 16 de junio de 2020 dirige otro correo electrónico con la misma petición (página 209 del expediente). VIGÉSIMO TERCERO: Con fecha 16 de junio de 2020 la parte reclamante firma un escrito (página 346 del expediente) que dirige al reclamado en el que, como titular de la tarjeta ***TARJETA.2 comunica la incidencia y solicita la devolución del importe de un conjunto de movimientos que lista. El listado incluye cargos producidos entre el 17 de abril y el 3 de mayo de 2020. Incluye el comentario: “Cliente manifiesta que se encuentra en una residencia de ancianos confinada, y que le ha desaparecido el bolso con todas sus pertenencias dentro, entre ellas las tarjetas. Le han suplantado la identidad durante este mes en varias ocasiones, consiguiendo acceder a la banca online.” (el subrayado es nuestro) VIGÉSIMO CUARTO: Con fecha 2 de julio de 2020 la representante de la parte reclamante envía un correo electrónico a BBVA (página 326 del expediente) en el que resume los hechos ocurridos hasta la fecha en relación con la parte reclamante y su hija. Así cita la sustracción de dinero ocurrida desde el 12 de abril y expresa que los delincuentes habrían asociado líneas telefónicas a productos de las defraudadas mediante suplantación de identidad. En el correo, además, identifica a una de las delincuentes y solicita que “impidan nuevos accesos a los mismos por terceros delincuentes con suplantación de identidad de mis dos clientes”. Igualmente requiere que “se abstengan de dar de alta cualquier tipo de nuevo producto bancario o financiero asociados a los datos personales y bancarios de mis clientes, ya que no son ellas sino una banda de delincuentes quienes lo están pidiendo”. (el subrayado es nuestro) VIGÉSIMO QUINTO: El día 2 de julio de 2020 la representante de la parte reclamante firma un escrito (página 127 del expediente) que dirige mediante burofax al reclamado solicitando la protección frente a la suplantación de identidad para sus representadas, que no se contraten nuevos productos a su nombre, y el abono de los importes reclamados en la misiva del 9 de mayo. El BBVA expresa haber recibido este burofax el día 3 de julio de 2020. VIGÉSIMO SEXTO: Con fecha 13 de julio de 2020 (página 111 del expediente), el BBVA requirió a la parte reclamante el pago de la deuda derivada del descubierto de los contratos ***CONTRATO.1 y ***CONTRATO.2 advirtiendo la posibilidad de inscripción en sistemas de información crediticia. La parte reclamante ha adjuntado en la ampliación de la reclamación presentada ante esta Agencia, la carta del BBVA (páginas 136 y 137 del expediente) en la que le comunica la existencia de dos deudas relativas a los contratos ***CONTRATO.1 y ***CONTRATO.2 que se han comunicado al área de recobros. Además, le informa de C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 31/110 que las deudas ciertas, vencidas, exigibles, e impagadas cuyo pago haya sido requerido pueden ser comunicadas a los sistemas de información crediticia. VIGÉSIMO SÉPTIMO: Con fecha 17 de julio de 2020 la representación de la parte reclamante presenta escrito (páginas 356 a 359 del expediente) al Juzgado de Instrucción Nº 33 de Barcelona (en el marco de las Diligencias Previas (...)) en el que se facilita al Juzgado un conjunto de documentos recuperados por las fuerzas y cuerpos de seguridad de terceros en el marco de una operación. Entre los documentos recuperados se encuentra información de carácter personal (DNI, dirección, número de teléfono, cuentas bancarias) de la parte reclamante. VIGÉSIMO OCTAVO: Con fecha 28 de julio de 2020 (página 200 del expediente) la hija de la parte reclamante envía un correo electrónico al BBVA (a la dirección del director de la sucursal, ***USUARIO.2@bbva.com) solicitando el desbloqueo de la cuenta de la parte reclamante “terminada en XX” al objeto de transferir el saldo a otra cuenta, de la hija de la parte reclamante, “terminada en XXXX” para que “mi madre pueda disponer de su dinero para vivir.” (página 322 del expediente) VIGÉSIMO NOVENO: El día 30 de julio de 2020 (página 210 del expediente) la hija de la parte reclamante dirige un correo electrónico al BBVA (al director de la sucursal) solicitando, entre otras cuestiones, el cierre de las cuentas ***CUENTA.1 y ***CUENTA.2 y la cancelación de las tarjetas ***TARJETA.1 y ***TARJETA.2 de la parte reclamante. TRIGÉSIMO: Con fecha 4 de agosto de 2020 el Servicio de Atención al Cliente del BBVA contestó vía correo electrónico a la representante de la parte reclamante con una carta de respuesta a la comunicación recibida el día 3 de julio (página 128 del expediente). En ésta le solicita nuevamente la acreditación de la representación para poder actuar en nombre de la parte reclamante. Le indica que esto puede realizarse a través del envío de un documento firmado que contenga nombre completo, NIF, dirección completa y firma tanto del representante como del representado. TRIGÉSIMO PRIMERO: El día 4 de agosto de 2020 la representante de la parte reclamante dirige un correo electrónico al BBVA (página 374 del expediente) en el que expresa que anexa los poderes otorgados a su favor. Facilita asimismo la copia simple de la escritura de poder a pleitos con facultades especiales otorgado ante notario por la parte reclamante y la hija de la parte reclamante a favor de la representante de la parte reclamante. TRIGÉSIMO SEGUNDO: Entre los días 16 de agosto y 6 de septiembre de 2020 el reclamado registró dos deudas (correspondientes a los contratos de préstamo ***CONTRATO.1 y de tarjeta ***CONTRATO.2 -tarjeta número ***TARJETA.1-) asociadas a la parte reclamante en el fichero de información crediticia “Badexcug/Experian” (página 403 y 404 del expediente). TRIGÉSIMO TERCERO: Con fecha 3 de septiembre de 2020 la parte reclamante y su hija presentaron una demanda de juicio ordinario (página 6 del expediente) contra el reclamado que contiene la descripción de los hechos. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 32/110 Según lo señalado en la contestación al requerimiento de información formulado por esta Agencia (página 122 del expediente), el día 22 de septiembre de 2020 el Juzgado notificó al BBVA la demanda (“Procedimiento Ordinario ***PROCEDIMIENTO.1”). TRIGÉSIMO CUARTO: Con fecha a 8 de septiembre de 2020 Experian dirige a la parte reclamante un escrito en el que le comunican la inclusión de una deuda procedente de un préstamo personal por el reclamado en el fichero Badexcug (página 397 del expediente). TRIGÉSIMO QUINTO: Con fecha 9 de septiembre de 2020 la hija de la parte reclamante dirigió un correo electrónico al reclamado (página 130 del expediente) en respuesta, según cita, a dos comunicaciones previas. En dicho correo, tras pedir cierta información, se reitera las siguientes peticiones: “1. Cierre inmediato de las dos cuentas bancarias abiertas a nombre de mi madre ***CUENTA.1y ***CUENTA.2. 2. Ruego procedas también a la cancelación inmediata de las dos tarjetas nº. ***TARJETA.1 y nº. ***TARJETA.2. 3. Ruego me transfieras, en las próximas 48 horas, el importe de 6.090,14.-euros sustraído por los delincuentes, a la cuenta abierta a mi nombre, cuyo número de IBAN es el que ya te indiqué en mail anterior, terminado en XXXX 4. Finalmente ruego me confirmes que vuestra entidad va a asumir toda la deuda generada en el pasado y que se genere en el futuro, por los actos realizados por los delincuentes, utilizando tanto los productos bancarios de mi madre, como los míos personales.” Además, indica a la entidad financiera que le parece “increíble que BBVA ponga a mi madre en un fichero de morosos por una deuda que sabéis perfectamente que ella no ha generado, sino que la han generado los delincuentes y BBVA. Ruego contactéis con vuestro Departamento Jurídico para que arreglen este tema y saquen a mi madre del fichero de morosos inmediatamente.” TRIGÉSIMO SEXTO: Con fecha 21 de septiembre de 2021 la parte reclamante presenta ante el Juzgado de Primera Instancia Nº 10 de Barcelona ampliación de la demanda con referencia al “***PROCEDIMIENTO.1” (página 43 y siguientes del expediente) en la que se refiere que la entidad AXACTOR en nombre del reclamado ha contactado con la parte reclamante para gestionar una deuda pendiente de cobro y adjunta copia de la carta. TRIGÉSIMO SÉPTIMO: Con fecha 2 de octubre de 2020 (página 132 del expediente) BBVA contestó vía correo electrónico a la hija de la parte reclamante adjuntando una carta fechada el 29 de septiembre de 2020. En la carta se solicita acreditar la representación de la parte reclamante para poder actuar sobre los productos en que ésta figura como única titular. Asimismo, en relación con los productos a nombre de la hija de la parte reclamante, solicita mayor concreción en relación con el importe objeto de fraude, así como la denuncia policial efectuada. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 33/110 TRIGÉSIMO OCTAVO: Con fecha 2 de noviembre de 2020 la parte reclamante presenta ante el Juzgado de Primera Instancia Nº 10 de Barcelona, ampliación de la demanda con referencia al “***PROCEDIMIENTO.1” (página 27 y siguientes del expediente) en la que manifiesta que el reclamado ha continuado reclamando importes correspondientes a actos realizados por los delincuentes y ha incluido a la parte reclamante en un “fichero de morosos”. TRIGÉSIMO NOVENO: Con fecha 24 de diciembre de 2021 Equifax dirige una carta a la parte reclamante (página 110 del expediente) en la que se informa de que el BBVA, el día 23 de diciembre de 2021, solicitó la inclusión de dos deudas en el fichero de información crediticia “ASNEF/Equifax” por los conceptos de “préstamos personales” y “tarjetas de crédito”. CUADRAGÉSIMO: Con fecha 5 de enero de 2022 la parte reclamante dirigió una comunicación al reclamado (página 108 del expediente) en el que, en relación con la solicitud del pago de las deudas, refiere la existencia de una demanda (“***PROCEDIMIENTO.1”) interpuesta el 1 de septiembre de 2020 en solicitud de declaración judicial de cierre y cancelación de cuentas y tarjetas bancarias y de exoneración de cualquier deuda por cualquier concepto originado en las mismas desde 10 de abril de 2020 en adelante. Cita que dicho proceso se encuentra pendiente de señalamiento para juicio. Manifiesta, asimismo, que la deuda no resulta atribuible a la parte reclamante y solicita la cancelación de sus datos personales en todos los ficheros a los que los hayan cedido (con inclusión de los ficheros de morosidad). CUADRAGÉSIMO PRIMERO: El 5 de enero de 2022 la parte reclamante dirigió una comunicación a Equifax (página 108 del expediente) en la que, en relación a la inclusión de las deudas en el fichero ASNEF, señala que existe una demanda (“***PROCEDIMIENTO.1”) interpuesta el 1 de septiembre de 2020 en solicitud de declaración judicial de cierre y cancelación de cuentas y tarjetas bancarias y de exoneración de cualquier deuda por cualquier concepto originado en las mismas desde 10 de abril de 2020 en adelante. Cita que dicho proceso se encuentra pendiente de señalamiento para juicio. Manifiesta asimismo que la deuda no resulta atribuible a la parte reclamante y solicita la eliminación de los datos personales de la parte reclamante de los ficheros de Equifax. CUADRAGÉSIMO SEGUNDO: En la sentencia ***SENTENCIA.1 de ***FECHA.1, dictada por el Juzgado de Primera Instancia nº 10 de Barcelona, en el juicio ordinario sobre reclamación de cantidad con nº ***PROCEDIMIENTO.1, seguidos a instancia de DOÑA A.A.A., y DOÑA B.B.B. contra el BANCO BILBAO VIZCAYA ARGENTARIA, S.A, se indica lo siguiente en su Fundamento de Derecho Cuarto: “CUARTO. Teniendo en cuenta la normativa aplicable, el iter cronológico expuesto, y además la testifical de la Sra. D.D.D., se infiere que a la Sra. A.A.A. le hurtaron el monedero con toda la documentación y tarjetas de crédito el día 10 de abril de 2020, C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 34/110 si bien no se apercibieron de ello hasta el día 13 o 14 de abril, en que se presentó la denuncia ante los Mossos d’Esquadra por la Directora de la Residencia, con las correspondientes ampliaciones posteriores que se hicieron a medida que se iban percatando de que por parte de quienes tenían en su poder la documentación personal y bancaria de la Sra. A.A.A. estaban suplantando su identidad. Por tanto, queda acreditado, que tan pronto como se tuvo conocimiento de la sustracción de las tarjetas se informó a la entidad BBVA para que procediera a bloquear las mismas. Así se desprende de la respuesta que dio BBVA el día 14 de abril de 2020, documento 8 de la demanda cuando responde a la Sra. B.B.B. “Solamente tiene una tarjeta y veo que ayer 13/04/2020 a las 18:06 fue bloqueada. Llamasteis vosotros al contact center de BBVA??? Lo que veo que tiene diversos cargos a través de banca online que supongo no ha realizado ella. Adjunto cargos realizados para que le des un vistazo... Si no fueran correctos necesitamos una denuncia de los mossos para poder tramitar la alta del fraude”. Y así se desprende de la documentación que consta en las Diligencias Previas, en que por parte de la entidad Bancaria se informa a la Sra. D.D.D., que “la baixa on line en del 16/04” y le pasa los datos actualizados y las operaciones realizadas, entre ellas un préstamo online el 12/04, por importe de 4.000€ y el alta de una tarjeta el 15/04 (pág. 34 del testimonio D.Previas (...)). Cuando menos desde el 14 de abril de 2020 BBVA tenía conocimiento del hurto sufrido por la Sra. A.A.A.. La Sra. A.A.A. cumplió con su obligación de comunicar de forma inmediata con el hurto de sus tarjetas y de su D:N.I:, por lo que todos los cargos habidos con las tarjetas cuya cancelación se solicitó el día 14 de abril de 2020 deben ser reintegrados a la Sra. A.A.A., pues cumplió con sus obligaciones, y si los delincuentes hicieron uso de las mismas con impunidad debe imputarse a una falta de diligencia por parte de la entidad bancaria, pues había sido advertida de los hechos, siendo que a tenor de los mail que remite el Director de la sucursal de ***LOCALIDAD.1 se desprende que era consciente de la suplantación de identidad, y así se lo advierte a la Sra. D.D.D. y a la letrada de las actoras al remitir el mail en fecha 30 de abril de 2020, aportado como documento 25.4 de la demanda, en el que le dice “Buenos días D.D.D., Según conversación telefónica esta mañana a las 12:22 nos ha llamado el teléfono ***TELÉFONO.1 haciéndose pasar por A.A.A., se ha identificado con el número de DNI correspondiente y nos ha solicitado dar de alta el teléfono móvil en la base de datos para poder acceder a la Banca Online. Evidentemente esta operativa no se puede hacer por teléfono y así les hemos trasladado, para que se personen en la oficina del BBVA para realizar estos trámites. y mirad que pasa con el teléfono ya que sigue activo. Saludos De dicho mail se desprende no sólo que la entidad bancaria, o cuando menos el director de la sucursal de ***LOCALIDAD.1, lugar de residencia de la Sra. A.A.A., que estaba en Barcelona para un tratamiento oncológico, sabía no sólo del hurto de las tarjetas sino del teléfono móvil de la Sra. A.A.A. y de la suplantación de identidad, motivo por el que se pone en contacto con la hija de la Sra. A.A.A., la coactora, Sra. B.B.B. para advertirle del intento de acceder a la Banca Online.” (el subrayado es nuestro) C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 35/110 Por tanto, queda acreditado, según indica la mencionada sentencia, que al menos desde el 14 de abril de 2020 la entidad BBVA tenía conocimiento del hurto sufrido por la Sra. A.A.A., que había cumplido con su obligación de comunicar de forma inmediata el hurto de sus tarjetas y de su D.N.I., y que hubo falta de diligencia por parte de la entidad bancaria, pues habiendo sido advertida de los hechos, los delincuentes hicieron uso de las mismas con impunidad. No solamente tenía conocimiento la entidad financiera del robo de las tarjetas, sino también del teléfono móvil de la parte reclamante lo que permitió la suplantación de la identidad de la misma (a tenor de los mails que remite el Director de la sucursal de ***LOCALIDAD.1). CUADRAGÉSIMO TERCERO: Con fecha de 23 de julio de 2022, recibido en el registro de la AEPD el 26 de julio de 2022, BBVA presentó un escrito de respuesta al requerimiento de información y documentación realizado por la AEPD al que acompañaba varios documentos de los que destacamos: Documento 1: Este documento consiste en e-mail remitido desde el correo electrónico ***USUARIO.3@bbva.com (página 308 del expediente). Según se describe en dicho documento el 13 de abril 2020 a las 18:06 la Entidad bloqueó la tarjeta número ***TARJETA.1 vinculada al contrato de tarjeta nº ***CONTRATO.2. A pesar de que el 13 de abril de 2020 se procedió, según la reclamada, a bloquear, la tarjeta bancaria de la parte reclamante, con posterioridad a este bloqueo la parte reclamante aporta un listado que incluye cargos producidos entre el 11 de abril y el 30 de abril de 2020. En la demanda presentada ante el juzgado expresa que el banco “ha reconocido responsabilidad sobre los movimientos operados en relación con dicha tarjeta por importe de 5559,88 euros.” Documento 2: Son dos copias de dos burofaxes de fechas 6 de mayo de 2020 y 9 de mayo de 2020 respectivamente, a través de los cuales la parte reclamante comunicaba a la reclamada que, a pesar de haber sido comunicado al banco el robo de tarjetas y terminal móvil, se había producido la sustracción de varias cantidades de dinero de la cuenta de la parte reclamante después de dicha comunicación, utilizando la identidad de ella y solicitaba que se paralizara, anule y retrotraiga cualquier operación realizada con el teléfono móvil de la parte reclamante ”o contra cualquier cuenta o producto bancario de la parte reclamante en BBVA antes del 10 de abril de 2020, fecha en la que se produjo el robo.” Documento 3: Este documento 3 lleva por título "PREVENCION DEL FRAUDE Y LA ESTAFA", fechado el 1 de junio de 2015 y es el procedimiento utilizado por el reclamado para los casos de contrataciones. En el resumen de su contenido se indica que se refiere a "Instrucciones para la prevención del fraude referidas tanto a aspectos generales como a procedimientos específicos según la modalidad del fraude. Dictámenes de seguridad sobre los casos de fraude y otras consideraciones sobre cuestiones de prevención del fraude". En dicho documento se dice: “Una de las claves de la relación cliente-entidad financiera es la confianza que debe establecerse. Sin duda, desde ese punto de vista, los ataques a la seguridad de determinados productos o servicios pueden deteriorar este principio […] C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 36/110 La defensa de la confianza en los procesos, el preservar la reputación de las propias entidades, dado que el fraude afectan muy negativamente a la imagen de las mismas, y evitar quebrantos que, una vez producidos, son, en la mayoría de los casos, irrecuperables, hacen necesario potenciar la prevención en este campo mediante la emisión de normas y la actuación formativa […] Esta norma pretende difundir aquellas medidas básicas de vigilancia que puedan permitir detectar y abortar la gran mayoría de los fraudes que se producen, con un reducido esfuerzo. Esta eficacia está condicionada por un hecho innegable: el mundo del fraude está en continuo cambio y los procedimientos son perfeccionados por los delincuentes constantemente, por lo que habrá que actualizar la información de forma permanente. Si se consigue un nivel preventivo adecuado, se extenderá dentro de la comunidad delincuencial la opinión de que el grupo BBVA adopta adecuadas medidas que dificultan el fraude con lo que, como efecto secundario, pero no menos importante, tenderán a disminuir las tentativas y los riesgos de futuros ataques. […] 2. Seguridad 2.1. Introducción 2.1.1. Conceptos A continuación enunciaremos algunos de los conceptos que se manejarán más adelante con el fin de unificar criterios en esta materia: […] Suplantación de identidad: Vinculado a las prevenciones sobre identificación, está la suplantación de identidades. En la mayoría de los casos, observar las recomendaciones dadas en cuanto a identificar DI falsos o manipulados y realizar alguna comprobación mediante preguntas que sólo conozca el titular o una llamada al teléfono del cliente que figure en nuestras BD, será suficiente para desenmascarar la mayoría de los intentos. Pero otro aspecto a tener en cuenta es que, en algunas ocasiones, esta actuación se realiza abusando de una hipotética relación de confianza, por ejemplo, al presentarse una persona para realizar alguna operación con documentación de otra persona sin estar ésta presente. Hay que tener en cuenta que no son infrecuentes los casos de estafas a familiares directos, manipulación de cuentas de parientes fallecidos (en algunos casos por razones fiscales), o la manipulación indebida de cuentas por razón de herencias, etc. Si el banco no opera correctamente, puede incurrir en una grave responsabilidad, por lo que estas prácticas no deben realizarse. También hay que señalar la utilización de la suplantación para obtener información (números de cuentas, saldo, etc.) que después es utilizada para realizar la estafa mediante, por ejemplo, disposiciones fraudulentas. Hay que extremar las precauciones de identificación, por tanto, a la hora de facilitar determinados datos. […] Operaciones sin presencia física de la tarjeta.- En estos casos (compras por INTERNET y venta por correo/teléfono), es el comercio el que asume contractualmente la responsabilidad, salvo en el caso de comercio seguro con autenticación del titular. Eso no nos exime de prestar atención a este tipo de fraude ya que redunda indirectamente en la fiabilidad de este producto y, por tanto, en su utilización y rentabilidad. […] C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 37/110 Documento Identificativo (DI): Es aquel que permite comprobar fehacientemente la identidad de una persona, que cuenta con alguna medida de seguridad que evite su alteración y/o manipulación y que incorpora fotografía del titular. Debe ser original (no fotocopia) y estar en vigor. Más adelante se especifican cuáles son.[…] Medidas de Seguridad: Son aquellos elementos que, incorporados a un documento (identificativo, de pago, billete, etc.) permiten identificarle como verdadero y, por tanto, distinguirlo del falso o manipulado. […] 2.2.2. Cómo actuar No hay que olvidar que los estafadores frecuentemente tratan de presionar al empleado, ponerlo nervioso o exigir todo tipo de urgencias con motivos variados y no siempre justificados claramente. Lo hacen para que su víctima cometa un error y les permita hacerse con su botín. No se debe caer nunca en su juego y siempre se debe actuar con calma. A la más mínima duda y para sentirse más respaldado y apoyado, se debe consultar con los compañeros, con el Delegado de Seguridad en el Territorio o con Seguridad Bancaria-Prevención del Fraude. Como regla general de gran importancia, en caso de mínima duda deberán hacerse siempre fotocopias legibles del Documento Identificativo (de su anverso y reverso si se trata de DNI o similar), además de en los casos que más adelante se especifican, en los que la fotocopia deberá hacerse necesariamente. En el caso de que se llegue a consumar el fraude y en los casos que así se determine, se interpondrá la correspondiente denuncia, que se formulará con el asesoramiento y apoyo del Delegado de Seguridad en el Territorio.[…] 2.2.3. Prevenciones de identificación La correcta identificación del cliente, tanto si se trata de una persona física individual, como si es apoderada de una persona jurídica, es básica para la prevención precoz de un fraude. Documentos de identificación: Los únicos documentos válidos para una correcta identificación son: * Documento Nacionalidad de Identidad. * Pasaporte. * Número de Identificación de Extranjeros (NIE), con sus distintas modalidades de Tarjetas (de residencia, asilo, estudiante, etc.). * Documento Identificativo nacional de un país de la Unión Europea con fotografía. Exclusivamente serán válidos los originales, nunca las fotocopias, y solamente si están en vigor. En ningún caso se aceptarán documentos caducados. Cómo identificar: En cuanto a la realización de una correcta identificación, lo primero es determinar si la persona que porta el documento es la misma que aparece en la fotografía del documento identificativo, luego verificaremos que el documento presentado es válido. Otras cuestiones a tener en cuenta: Hurto/extravío del DI / libreta / cheque / pagare: En el caso de que el cliente comunicase el hurto o extravío de su DI/ libreta / cheque, por ejemplo, al informar de la pérdida o hurto de una tarjeta o de otro documento, es obligatorio añadir esa información en los aplicativos del Banco, de manera que sirva de alerta para la Red. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 38/110 En estos casos, la oficina es conveniente que recoja del cliente un escrito en el que éste comunique la pérdida de la documentación. […] Operaciones a distancia: Como principio general, para una correcta identificación es imprescindible la presencia física de la persona que va a realizar la operación, además de ser necesaria para contar con su consentimiento y para que se firmen convenientemente todos los documentos requeridos. La experiencia indica que son frecuentes los fraudes en las que se utilizan las comunicaciones por teléfono, e-mail o fax para dar determinadas órdenes. Se producen deficientes identificaciones, de manera que el estafador se hace pasar por un cliente o, incluso, por un empleado. Ordenes mediante comunicaciones telefónicas: Como regla general, NO deben admitirse. Si en casos excepcionales se admiten, deberán restringirse a clientes muy conocidos. En caso de duda, no deben realizarse. Es conveniente realizar preguntas de comprobación para asegurar la identidad del interlocutor o pedir sus datos y llamar a un teléfono obtenido de las bases de datos (BD), nunca al facilitado por el propio comunicante. También se puede contrastar la información a través de las BD. En estos casos excepcionales, inmediatamente se deberán documentar las operaciones. Remisión de órdenes vía e-mail/fax: Los procedimientos de escaneado de documentos, por su sencillez y economía, han facilitado el incremento de este tipo de fraude. Por esta razón, como regla general, NO deben admitirse. Se restringirán al máximo, admitiéndose solo en casos excepcionales (exclusivamente clientes muy conocidos), siendo imprescindible cumplir el procedimiento en el que se regula la autorización del uso de la tramitación de órdenes de pago (Nacionales e Internacionales) recibidas por parte de los clientes a través de e.mail/fax el cual obliga a realizar contacto telefónico para verificar la autenticidad de la orden recibida. […] Es muy frecuente que los estafadores, haciéndose pasar por clientes, llamen a las oficinas (especialmente a otras de la del titular real) repetidas veces para comprobar que su orden se ha cursado. No basta recibir esas llamadas para dar por buena la orden. […] 2.2.5. La firma como elemento identificativo Otro elemento clave en la correcta identificación del cliente es la firma, hasta el punto de que su análisis es una herramienta más de trabajo en la operativa bancaria y, por tanto, constituye un instrumento más dentro del nivel elemental de seguridad. Por estas razones es imprescindible que todos los documentos asociados a los productos estén debidamente firmados y la firma del cliente digitalizada.[…] 2.3.1. Fraudes con Tarjetas[…] Algunos tipos de fraude son los siguientes: * Utilización de tarjetas robadas/extraviadas. El cliente tiene la obligación, establecida contractualmente, de custodiar apropiadamente tanto la tarjeta como el PIN y comunicar de forma inmediata cualquier incidencia. Una forma de incumplimiento de la obligación de custodia es que dicho número figure en cualquier momento que lleve junto a la tarjeta. […] * Hurtos en el envío de la tarjeta. Otro aspecto fundamental es el envío de las tarjetas. En este caso, se deberá seguir lo indicado en la Norma 52.10.026. […] Siempre hay que tener en cuenta que lo que se envía no es un simple plástico, sino un documento de pago equivalente a efectivo por valor del límite de la tarjeta. Se deben C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 39/110 enviar desactivadas y una vez confirmada la recepción por el cliente, proceden a su activación. * Operaciones sin presencia física de la tarjeta.- En estos casos (compras por INTERNET y venta por correo/teléfono), es el comercio el que asume contractualmente la responsabilidad, salvo en el caso de comercio seguro con autenticación del titular. Eso no nos exime de prestar atención a este tipo de fraude ya que redunda indirectamente en la fiabilidad de este producto y, por tanto, en su utilización y rentabilidad. * Obtención fraudulenta del número personal (PIN). - Los métodos utilizados por los estafadores son variados (engaños, uso de la fuerza, etc.) Cómo actuar en caso de fraude: En caso de que se detecte, por los distintos medios existentes, un fraude con tarjeta de crédito/débito, lo inmediato es el bloqueo de la tarjeta siguiendo instrucciones de la Norma 52.10.026. Esta es una acción preventiva muy importante, porque inmediatamente evita más fraude. En caso de que el cliente dude qué tarjeta fue extraviada o hurtada, se bloquearán todas las de su titularidad. El proceso continúa, en caso de fraude comprobado, enviándose el expediente completo a Operaciones - Medios de Pago. […] 2.3.8. Créditos al consumo Para que exista fraude, debe haber un "engaño suficiente" (ver concepto de estafa, punto 2.1.1.), como puede ser la manipulación o falsificación de la documentación presentada. Si no hay tal engaño, seguramente se tratará de mora. En caso de fraude, los estafadores suelen actuar de la siguiente forma: * Abren una cuenta, en algunos casos con documentación falsa, operando con ella con normalidad. Simulan ingresos periódicos como si se tratase de una nómina. * Tras unos meses, solicitan un crédito al consumo para, por ejemplo, comprar un vehículo. Para solicitarlo, presentan nóminas falsas o manipuladas, en algunos casos de empresas reales para las que no trabajan los solicitantes en la fecha de la solicitud, o, en otros casos, de empresas inexistentes o creadas para el fraude. Pueden manipular incluso certificados de la Seguridad Social. * Posteriormente disponen en efectivo del dinero o utilizan el dinero del préstamo, revenden el bien y desaparecen. * En algunos casos, son grupos organizados que, además de crear empresas con el fin de emitir nóminas ficticias, incluso ponen a nombre del solicitante una propiedad como aparente garantía para luego, antes de desaparecer, volverla a poner a nombre de otra persona de la organización, de forma que el beneficiario del préstamo aparece como insolvente. […] 2.5. Otras cuestiones relacionadas con la prevención del fraude 2.5.1. Seguridad en la información La gran mayoría de los fraudes se inicia con una exhaustiva recopilación de información sobre la potencial víctima, por lo que la primera medida preventiva es asegurarse que el acceso a la información lo tenga, exclusivamente, quien lo deba tener. Esto implica estar vigilantes ante solicitud de datos por vía telefónica por parte de personas desconocidas, aunque digan que son compañeros. En estos casos, conviene confirmar por métodos sencillos, como preguntas de comprobación o, en caso de llamadas recibidas, con llamadas de retorno a teléfonos existentes en C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 40/110 nuestras BD que sepamos que son realmente de la persona que decía llamar (tanto si es cliente como si es empleado). No hay que olvidar que esa confidencialidad, además, viene exigida por la Ley de Protección de Datos, que obliga a tratar con confidencialidad y no facilitar información con datos personales a personas que no sean titulares de productos, salvo ante un requerimiento legal. Para más datos sobre esta materia, ver Norma 62.30.012 (Protección de datos de carácter personal) […]”. Documentos nº 4, 5 y 6: En estos documentos se aportan por la entidad reclamada varias operaciones de compra, disposiciones de cajero y transferencias a través de la con tarjeta ***TARJETA.1 asociada al contrato ***CONTRATO.2. En particular, el documento 6 es una comunicación de incidencias relacionados con la tarjeta bancaria, y por medio del mismo se indica que la parte reclamante puso en conocimiento de la reclamada el robo de la tarjeta bancaria y el teléfono y que por la entidad financiera se procedía al adelanto provisional y salvo buen fin de las cantidades reclamadas. La entidad bancaria no ha aportado ningún otro documento de fecha posterior relativo a la prevención del fraude y la estafa. CUADRAGÉSIMO CUARTO: La entidad reclamada presentó un escrito el 10 de febrero de 2023 reconociendo su responsabilidad en la comisión de las siguientes infracciones relacionadas con el caso concreto que se presentó ante la Agencia y que fue el origen de la investigación posterior: - La infracción del artículo 6.1 del Reglamento General de Protección de Datos tipificada en el artículo 83.5 del mismo Reglamento, en relación con la contratación no autorizada de productos, sobre la que el Acuerdo aprecia la posible imposición de una sanción de 70.000 euros. - La infracción del artículo 32 del RGPD tipificada en el artículo 83.4 del mismo Reglamento, en relación con los procedimientos de comunicación, inclusión y mantenimiento en los sistemas de información crediticia de datos personales, sobre la que el Acuerdo aprecia la posible imposición de una sanción de 500.000 euros. - La infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 del mismo Reglamento, en relación con la incorporación de datos personales en los sistemas de información crediticia, sobre la que el Acuerdo aprecia la posible imposición de una sanción de 70.000 euros. Asimismo, la reclamada procedió al pago de las sanciones correspondientes a las citadas infracciones, efectuadas las deducciones establecidas por el artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. CUADRAGÉSIMO QUINTO: En el anterior escrito de fecha de 10 de febrero de 2023 la parte reclamada presenta escrito de alegaciones al acuerdo de inicio por las dos supuestas infracciones de los artículos 25 y 32 del RGPD, de las que no reconoce su responsabilidad ni realiza el pronto pago, y presenta la siguiente documentación: Documento nº1: Este documento se denomina "Valoración de la Seguridad y Privacidad en BBVA" y en que el BBVA declara que "BBVA cuenta con una normativa de Security By Design, generada en septiembre del año 2017 y con última revisión C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 41/110 efectuada en Julio de 2022. La mencionada normativa interna, establece que, al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que estén basados en el tratamiento de datos personales o que, traten datos personales para cumplir su función, debe alentarse a los desarrolladores de los productos, servicios y aplicaciones a que tengan en cuenta los principios básicos establecidos en la normativa de protección de datos en el momento de desarrollar y diseñar estos productos, servicios y aplicaciones… Entre los diferentes riesgos considerados como parte de los análisis realizados en las fases de diseño y desarrollo de los productos se encuentran: […] En concreto, el equipo de Fraude emitirá un posicionamiento en las iniciativas analizadas por SeP con el objetivo de prevenir: 1. Pérdida económica tanto a los clientes como a BBVA 2. Creación de cuentas mula que permitan realizar los ataques de fraude 3. Blanqueo de Capitales 4. Financiación al terrorismo 5. Fuga de información de datos habilitadores de fraude “ BBVA no ha aportado la versión del documento vigente en la fecha de los hechos que se analizan en el presente procedimiento. Documento nº 2: Este documento se denomina “Actuaciones Security by Design (BBVA)”. La fecha del documento es de 13 de julio de 2022, por lo que se trata de una C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 42/110 versión posterior a la vigente en el momento de los hechos objeto del presente procedimiento. El documento reproduce la guía de la AEPD sobre protección de datos desde el diseño y por defecto y recoge lo siguiente: “Con el objetivo de cumplir con el concepto de Seguridad desde el Diseño y por Defecto, en BBVA se aplican las siguientes normativas y buenas prácticas. 1. Norma de Desarrollo Seguro y Privacy by Design: Norma interna que recoge los principios de Privacy by Design según el Reglamento orientadas a privacidad y protección de datos durante todo el ciclo de vida del desarrollo de un producto software. 2. Guía Big Data: Glosario de buenas prácticas y consideraciones de la Agencia Española de Protección de Datos en cuanto al tratamiento de datos personales en entornos Big Data. 3. Guía de Anonimización: En esta guía se describen las diferentes posibilidades o técnicas de anonimización que contempla la Agencia Española de Protección de Datos y su finalidad. 4. Norma de clasificación de la información: Normativa interna en cuanto a la clasificación de la informació