← España

REPOSICION-PS-00002-2015

1/15 Procedimiento nº.: PS/00002/2015 ASUNTO: Recurso de Reposición Nº RR/00699/2015 Examinado el recurso de reposición interpuesto por la entidad CAIXA CARD 1 Establecimiento Financiero de Crédito, S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00002/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 16/07/2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00002/2015, en virtud de la cual se imponía a la entidad CAIXA CARD 1 Establecimiento Financiero de Crédito, S.A. (en lo sucesivo CAIXACARD), una sanción de 80.000 euros (ochenta mil euros), por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 20/07/2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00002/2015, quedó constancia de los siguientes: <<1. Con fecha de 16/04/2014, tuvo entrada en esta Agencia un escrito del denunciante, en el que pone de manifiesto que los datos personales contenidos en su tarjeta de crédito con tecnología contactless de “La Caixa”, relativos a nombre del titular, el banco emisor, el número de cuenta y la fecha de caducidad, pueden ser accedidos de forma sencilla y a distancia. 2. La entidad CAIXACARD es el establecimiento financiero de crédito del “Grupo Caixabank” emisor de las tarjetas de crédito, débito y prepago. En el “Contrato de productos y servicios de Tarjetas” que suscriben los clientes se establece que “las tarjetas son los instrumentos de pago emitidos por CAIXACARD y de su propiedad”. En dicho contrato no se incluye ninguna información específica sobre la tecnología Contactless que utilizan las tarjetas para su funcionamiento (identificación por radiofrecuencia o RFID). 3. En respuesta al requerimiento de información de los Servicios de Inspección de la AEPD, la entidad CAIXACARD manifestó que para las comunicaciones de las tarjetas contactless se utilizan los protocolos y aplicaciones implementados en virtud de los estándares técnicos definidos y certificados por las propias marcas (VISA, MasterCard, American Express…) e ISO/IEC, resultando dichos estándares comunes y obligados para todo el sector. En relación a las tarjetas contactless de la marca VISA, CAIXACARD señaló que existen dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 versiones de las aplicaciones sucesivamente desarrolladas por dicha marca: . VCPS 2.2, para vsdc 2.7.1 . VCPS 2.1.1 para vsdc 2.8.1F 4. Para la identificación de las tarjetas, las etiquetas RFID incorporadas a las mismas transmiten por radiofrecuencia, según la aplicación utilizada, la siguiente información: . VCPS 2.0.2 para vsdc 2.7.1 . PAN . Nombre del titular . Fecha de caducidad . Código de Servicio . CVV dinámico y otros datos EMV . VCPS 2.1.1 para vsdc 2.8.1F . PAN . Fecha de caducidad . Código de Servicio . CVV dinámico y otros datos EMV PAN es el acrónimo de Primary Account Number, definido en el estándar ISO/IEC 7812-1, y es el número que viene impreso y/o estampado en altorrelieve en los plásticos de las tarjetas de pago. 5. Consta incorporado a las actuaciones un Informe de Auditoría de Plataforma titulado “Informe de Auditoría de Plataforma (Pago con Targetas (sic) Contactless) ref: 727-022-IAP – Sistema de Gestión de Seguridad de la Información”, de fecha 17/07/2012, con membrete de “La Caixa”, en el que se indica lo siguiente: a. Las pruebas se realizaron sobre tarjetas VISA Classic con tecnología contactless. b. Concluyen que “el nivel de seguridad en este punto es Medio-Bajo”. c. Se transmite sin cifrado, en texto claro: i.El nombre del propietario de la tarjeta. ii.El PAN iii.La fecha de caducidad d. Que es posible obtener dicha información simulando un TPV a distancias de hasta 2 metros con el material adecuado. No se establecen garantías para determinar si la comunicación se establece con un TPV auténtico. 6. Consta incorporado a las actuaciones un informe titulado “Informe de Seguridad Informática Num. **** – Informe Ejecutivo – Actualización revisión de seguridad de tarjetas de pago contactless”, fechado el 25/09/2014, con membrete de “CaixaBank”, lista de distribución, entre otros, a “Caixa Card”, y referencia de archivo “CaixaBank, S.A. “la Caixa” 9722 – Gestió de Seguretat Informática, en el que se indica lo siguiente: . El informe es la actualización de la auditoría de seguridad realizada en 2012. . “En septiembre de 2014 se ha finalizado la verificación de un cambio mediante el cual se soluciona uno de los problemas de seguridad de las tarjetas contactless reflejados en el informe original (posibilidad de lectura en claro de los datos de nombre del titular de la tarjeta). Con motivo de esta acción se ha procedido a la actualización del informe”. . Las pruebas de la presente revisión se realizaron en junio de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 . La revisión de seguridad que se refleja en el informe del 2014 tiene el propósito, entre otros, de determinar “la interceptación de los datos que pueda contener la tarjeta”. . El protocolo que utilizan la tarjetas contactless “no tiene controles que impidan a un atacante la lectura de algunos de los datos contenidos en la tarjeta”, “no establece ningún control de autenticación para que la tarjeta verifique que está hablando con un TPV válido, posibilitando que la información contenida en la tarjeta pueda ser consultada” y “no implementa cifrado de comunicaciones, por lo que con el hardware adecuado, un atacante potencial que se encuentre a unos pocos centímetros de un TPV podría llegar a interceptar las comunicaciones establecidas”. En relación con la ausencia de cifrado en las comunicaciones “no existen recomendaciones, pues el funcionamiento de los pagos contactless viene determinado por el estándar EMV, por lo que el problema se hereda del propio estándar”. Añade que “según el estándar de obligado cumplimiento PCI DSS algunos de los datos transmitidos en la comunicación NFC deberían ir cifrados. Por ello su transmisión en claro debería provocar el incumplimiento de dicho estándar. Visa y Mastercard colaboran en las definiciones, tanto del estándar PCI DSS como el protocolo de comunicación EMV, lo que genera una contradicción pues sus propios protocolos parecen no cumplir con su estándar”. En el resumen de vulnerabilidades, se indica que la ausencia de cifrado en las comunicaciones es asumida por CAIXACARD “por ser inherente a la tecnología y por el análisis del fraude que revela la imposibilidad actual de que ocurra”. . Los datos que se transmiten entre tarjeta y lector en las tarjetas de 2014 son: PAN, fecha de caducidad (datos que son visibles en el frontal de las tarjetas) y otros datos de configuración del protocolo. Estos datos pueden obtenerse interrogando una tarjeta o interceptando una comunicación. . En el primer semestre de 2014, EMV (Europay Mastercard Visa) publicó un cambio en el protocolo que evita que el Nombre del Titular aparezca en texto claro. En relación a este cambio, se hizo una actualización de las tarjetas que “ha verificado la implementación de una mejora que evita que el Nombre del titular de la tarjeta se pueda capturar por parte de un lector NFC”. . Que ante la evidencia de la lectura del Nombre del Titular en las tarjetas anteriores a 2014, y a pesar de que el informe de auditoría recomienda “acelerar la renovación anticipada del parque de tarjetas” la acción acordada fue la “renovación por vencimiento u otras causas que puedan suceder”. Se acordó que el riesgo que pudiera derivarse de este fallo lo asumiera CAIXACARD. . El alcance de la comunicación puede ser de “hasta medio metro en dispositivos pasivos y caso 2 metros en dispositivos activos”. . “La posibilidad de operar mediante contactless sin la necesidad de introducir el PIN permiten que realicen transacciones sin la intervención del usuario” (hasta 20 euros). Hay un limitador de transacciones fijado internamente en la tarjeta que impide realizar transacciones indefinidas. . “Los datos leídos de la tarjeta () podrían ser utilizados para realizar compras en algunos comercios online que no pidan el CVV2”. 7. Con fecha 12/05/2015, los servicios de Inspección de la AEPD realizaron las comprobaciones que se indican a continuación sobre tres tarjetas de crédito emitidas por CAIXACARD a nombre del denunciante, con el resultado siguiente: - C/ Jorge Juan, 6 28001 – Madrid “Se han instalado en un móvil LG-Leon 4G LTE con versión de Android 5.0.1 la aplicación EMV Analyzer. Se ha configurado el Smartphone para habilitar NFC y Android Beam. www.agpd.es sedeagpd.gob.es 4/15 - Con una tarjeta de prueba se ha comprobado que la aplicación anterior funciona correctamente. - Se ha realizado una prueba para leer la información de las tarjetas de crédito/débito de CAIXABANK proporcionadas por el denunciante. - La información que se ha capturado con la aplicación del teléfono móvil y que se muestra en la pantalla del mismo ha sido la siguiente: . De la tarjeta Visa Gold de CaixaBank nº A.A.A. . Tipo de tarjeta: Visa debit/credit . Número de cuenta: A.A.A. . Fecha de expiración: F.F.F. . Titular: D.D.D. . De la tarjeta Visa Electrón de CaixaBank nº B.B.B. . Tipo de tarjeta: Visa electrón . Número de cuenta: B.B.B. . Fecha de expiración: E.E.E. . Titular: D.D.D. . De la tarjeta Visa Money Electrón de CaixaBank nº C.C.C. . Tipo de tarjeta: Visa electrón . Número de cuenta: C.C.C. . Fecha de expiración: E.E.E. . Titular: D.D.D.”. 8. En una nota de prensa insertada en el portal web lacaixa.es se informa que Caixabank tiene cuatro millones de contactless>>. TERCERO: Con fecha 19/08/2015, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad CAIXACARD, recibido en esta Agencia Española de Protección de Datos en fecha 25/08/2015, en el que formula alegaciones que la propia entidad recurrente resume como sigue: <<1. Se reiteran todas las alegaciones formuladas a la propuesta de resolución. 2. CaixaCard no puede aplicar medidas de seguridad distintas a las que las marcas definen en sus estándares, ya que estos estándares son definiciones internacionales no susceptibles de modificación o mejora por un emisor concreto. Una hipotética aplicación, por CaixaCard o por todos los operadores de un país concreto, de medidas distintas a las dispuestas por las marcas, a parte de los problemas técnicos que plantearía, haría que estas tarjetas no funcionaran en TPVs de otros operadores o países. 3. Se discrepa respecto de que el PAN tenga la consideración de dato de carácter personal, según argumenta esa Agencia en su resolución. A partir de la versión VCPS 2.1.1 de las tarjetas, hay ausencia de transmisión de datos de carácter personal en las mismas. Por tanto, una hipotética resolución que resolviera que no se ha cumplido con lo establecido en el art. 9 de la LOPD solo podría referirse a las tarjetas emitidas en el estándar previo a esta versión VCPS 2.1.1 4. Mi representada ha cumplido fielmente el mandato establecido en el art. 9 de la LOPD, ya que las medidas de seguridad aplicadas a la tecnología Contactless de las tarjetas es la idónea para garantizar la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta de: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 i. El estado de la tecnología: La tecnología Contactless no registra incidentes de interceptación de datos, y a día de hoy, el estado de la tecnología no permite lecturas de las tarjetas a distancia mayor de 5 cm en equipos profesionales (solo 1 centímetro o contacto físico en aplicaciones de móvil). ii. La naturaleza de los datos almacenados: Los datos emitidos por la tecnología Contactless, (el Numero PAN de la tarjeta, fecha de caducidad de la tarjeta y, solamente en la primera versión de los dispositivos, el nombre del titular de la misma) no son datos especialmente protegidos, ni datos que deban ser susceptibles de aplicación de medidas de seguridad más allá de las medidas de seguridad de nivel básico o medio establecidas en el Reglamento de la LOPD. iii. Los riesgos económicos a que están expuestos son nulos, ya que la posibilidad de sufrir fraude en una operación tras una interceptación está limitada para el cliente bien por contrato bien por la garantía “CaixaProtect” que mi representada ofrece a todos sus clientes y que les garantiza inmunidad frente a riesgos económicos. 5. Se ha conculcado el principio de tipicidad establecido en el artículo 25 de la Constitución Española y en el artículo 129 LRJAP, puesto que se ejerce la potestad sancionadora respecto de un supuesto de hecho ajeno a los elementos contemplados que integran el tipo legal. El artículo 44.3.

  1. h)establece que es una infracción de la normativa de protección de datos de carácter personal: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. En el supuesto que nos ocupa, el dispositivo sobre el que, según el acuerdo de inicio, no se han aplicado estas medidas de seguridad no se trata, ni de un fichero, ni de un local, ni de un programa, ni de un equipo que esté en poder del Responsable del Tratamiento. 6. Se están llevando a cabo medidas adicionales con el fin de introducir mejoras tecnológicas en el parque de tarjetas existentes, así como con la finalidad de ofrecer mejor información sobre la tecnología Contactless en los contratos que suscriben los clientes>> (“1.- Se está definiendo un plan de actualización de todo el parque de tarjetas emitidas en la versión inicial de la tecnología Contactless (emisión que transmitía el nombre del titular), con el fin de eliminar los datos de carácter personal (nombre y apellidos del titular). La ejecución de dicho plan de actualización se llevará a cabo a la mayor brevedad posible; 2.- Se está redefiniendo el contrato de tarjetas, de manera que se ofrecerá a los contratantes la información sobre la incorporación de la tecnología Contactless, y su funcionamiento técnico”). .- En relación con lo indicado en el punto 2 anterior, CAIXACARD aporta una carta que le fue remitida por la entidad VISA, con el siguiente contenido: . Los estándares de las tarjetas Contactless son definidos a nivel mundial por dos entidades: EMVCo y PCI Security Standards Council, siendo EMVCo quien define los estándares de los pagos Contactless entre dispositivos y terminales. . Las actuales especificaciones EMVC0 para Contactless no incluyen ninguna medida de seguridad adicional para evitar la interceptación (por ejemplo la encriptación) . Las especificaciones actuales representan las bases de una interoperabilidad global del sistema de pagos. . Si bien están en estudio futuras medidas de seguridad adicionales a aplicar en las especificaciones de EMVCo, no hay fecha, ni para su publicación, ni para su disponibilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 . Cualquier solución que implementara un emisor a título individual no sería soportada por los estándares EMV y por lo tanto estas tarjetas no funcionarían en los terminales estándares EMV. (Por lo tanto si CaixaCard quisiera aplicar alguna medida de seguridad diferente a los estándares, debería fabricar sus propios TPVs (Terminal Punto de Venta), y sus tarjetas no funcionarían en ningún otro dispositivo, ni en España ni en el resto del mundo). . La única manera de modificar el estándar sería un cambio del mismo a nivel mundial que, además de otras pruebas e implementaciones, implicaría el reemplazo del parque mundial de tarjetas, y la actualización del software de todos los TPV. Si este cambio no se produjera a nivel mundial: • Se rompería la interoperabilidad global (mundial). • Este estándar no sería compatible con versiones anteriores, con versiones actuales de EMV, ni con versiones futuras. • Solo las tarjetas y TPV emitidos con este nuevo estándar local serían capaces de comunicarse entre sí, creando un sistema cerrado. • Si lo consumidores quisieran usar tarjetas fuera de ese país, deberían tener 2, una con el estándar mundial, y otra con el estándar local. • Todos los operadores del mercado local estarían obligados a implementar ambos sistemas para garantizar la usabilidad de locales y visitantes extranjeros Una implementación local como la sugerida en la resolución de la AEPD, impactaría en la Agenda Digital para Europa, publicada mediante la Comunicación, de 19 de mayo de 2010, de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones, que pretende desarrollar un mercado único digital que marca como objetivos y acciones a emprender, entre otros, facilitar los pagos y la facturación por vía electrónica y reforzar la interoperabilidad de los dispositivos, aplicaciones, repositorios de datos, servicios y redes. .- Sobre la consideración del PAN como un dato de carácter personal (punto 3 anterior), CAIXACARD se refiere a la resolución impugnada, en la que la AEPD admite que el acceso de un tercero a la emisión de los datos de la tarjeta no permitirá al intruso identificar al titular y que el PAN de la tarjeta, según la citada Agencia, se considera dato personal porque en los sistemas de la emisora este dato se relaciona con un titular. A este respecto, señala CAIXACARD que el uso de dicho dato en la emisión de la tarjeta sin asociarlo al titular, es el medio de disociación utilizado para emitir el instrumento al tráfico mercantil, y evitar así riesgo de interceptación de verdaderos datos de carácter personal, de modo que no es un dato de carácter personal para quien hipotéticamente interceptara la comunicación inalámbrica de la tarjeta Contactless. De hecho, la consideración hecha en la resolución pone en cuestión una tecnología que es aplicada de manera idéntica en multitud de sectores (por poner un ejemplo, las tarjetas de las habitaciones de los hoteles, cuando trasmiten inalámbricamente el número de habitación para abrir la puerta a los huéspedes). En definitiva, si a través de la tecnología Contactless únicamente puede accederse al número de identificación de la tarjeta, pero no puede accederse a la identidad del titular de la misma, el número de la tarjeta no debe ser considerado un dato de carácter personal, pues el hecho de la disociación impide que quien conoce el PAN identifique a su titular. Eso es precisamente lo que se desprende del informe del gabinete jurídico de la Agencia anteriormente citado, que establece que el número de la tarjeta de crédito será un dato de carácter personal siempre y cuando aparezca asociado a otros que permitan conocer la identidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 de su titular. Por otra parte, añade que para el tercero que pudiera acceder a la información los esfuerzos necesarios para poner en relación el número de la tarjeta PAN con la identidad de su titular son desproporcionados. .- Sobre las cuestiones citadas en el punto 4 del resumen inicial y en relación con la distancia a la que es posible leer una tarjeta Contactless, añade que la Agencia no ha especificado, en la prueba realizada sobre las tarjetas aportadas por el denunciante, a qué distancia pudo leerse la información y, en cambio, CAIXACARD aportó un acta notarial en la que se deja constancia de que la lectura a una distancia superior a uno o dos centímetros no resultaba posible. De hecho, en todos los años que lleva funcionando la tecnología Contactless no ha habido una sola reclamación por acceso indebido por terceros similar a la que se denuncia. En cuanto a los informes de auditoría incorporados a las actuaciones, en los que se hace referencia a la posibilidad de que se produzca una lectura a una distancia de hasta dos metros, alega que tales informes constituyen un informe interno de trabajo, que no pueden constituir una prueba que se tenga por cierta en un procedimiento sancionador, y que los mismos ponen de manifiesto hipotéticos riesgos, estén o no probados. El que la distancia a la que pueda leerse la información contenida en la tarjeta con tecnología Contactless sea muy reducida se convierte de hecho en la mejor forma de proteger esa información, pues el titular de la tarjeta se da perfecta cuenta de si una persona se le acerca a una distancia de un centímetro para llevar a cabo una lectura indeseada. Por otra parte, se refiere CAIXACARD a los requisitos exigidos por la guía sobre seguridad y privacidad de la tecnología RFID, declarando que se cumplen adecuadamente, en la medida de lo posible: . El cifrado de la información que se contiene en la propia tarjeta impediría la lectura por el lector TPV, y ello haría imposible su utilización. . El procedimiento de autenticación para evitar utilizaciones indebidas de las tarjetas de crédito, se viene a materializar a través de la exigencia del denominado PIN, para comprobar que el titular que está usando la tarjeta de crédito es el verdadero titular y confirmar asimismo que está de acuerdo con que se le cargue el importe de la operación en la tarjeta utilizada. . Reducción de la información contenida en las etiquetas: el cumplimiento de este requisito se desprende de la propia resolución impugnada, pues en 2012 se incorporaba la identidad del titular y en 2014 se ha optado por suprimir esta información. . No almacenar en los tags RFID información personal: esto es lo que se ha hecho al suprimir la posibilidad de leer con esta tecnología el nombre del titular de la tarjeta. . Realizar auditorías de seguridad de sistemas RFID de forma periódica: dichas auditorías se han realizado y obran en poder de la Agencia pues fueron aportadas por esta entidad. .- A juicio de CAIXACARD, en este caso, se ejerce la potestad sancionadora respecto de un supuesto de hecho ajeno a los elementos contemplados que integran el tipo legal (Punto 5), considerando que el dispositivo sobre el que, según la resolución, no se han aplicado estas medidas de seguridad no se trata, ni de un fichero, ni de un local, ni de un programa, ni de un equipo que esté en poder del Responsable del tratamiento. Por tanto, la AEPD no se ciñe a la literalidad de la norma y realiza una forzada interpretación analógica de la misma. La tarjeta es un instrumento de pago, un instrumento mercantil destinado al giro y tráfico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 económico como medio de pago que no está en posesión de su emisor, sino del titular de los datos, y sobre el que el emisor no es responsable de aplicar lo establecido en el art. 44.3.h). De hecho, la emisión de la tarjeta de pago y la incorporación de la información que hace posible su funcionamiento está claramente amparada en los supuestos contemplados en el artículo 11.2.
  2. c)de la LOPD, que establece la legitimidad de la comunicación de datos a terceros, cuando el tratamiento responda a la libre y legitima aceptación de una relación jurídica. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El escrito de recurso reproduce, básicamente, las alegaciones ya formuladas durante tramitación del procedimiento, que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a IX de la Resolución recurrida, R/001848/2015, de 16/07/2015, la cual contiene un pronunciamiento expreso sobre todos los aspectos reseñados por CAIXACARD. En esta Resolución se considera que la entidad CAIXACARD incumplió lo dispuesto en el artículo 9 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. CAIXACARD alega nuevamente en su recurso que la LOPD no es aplicable a este tipo de dispositivos y, en todo caso, no lo sería a partir de la versión VCPS 2.1.1 de las tarjetas, que no incluyen entre la información transmitida los datos relativos a nombre y apellidos del titular de la tarjeta, por cuanto el PAN no tiene la consideración de dato de carácter personal y el uso de este número sin asociarlo al titular es el medio de disociación empleado para emitir el instrumento al tráfico mercantil, evitando el riesgo de interceptación de verdaderos datos de carácter personal. Argumenta CAIXACARD que si a través de la tecnología Contactless únicamente puede accederse al número de identificación de la tarjeta, pero no puede accederse a la identidad del titular de la misma, dicho número de la tarjeta no debe ser considerado un dato de carácter personal, pues el hecho de la disociación impide que quien conoce el PAN identifique a su titular. Asimismo, invoca nuevamente el principio de tipicidad, señalando que la tarjeta es un instrumento de pago, un instrumento mercantil destinado al giro y tráfico económico, sobre el que el emisor no es responsable de aplicar lo establecido en el art. 44.3.h). Estas cuestiones se analizan en los Fundamentos de Derecho II, III y V de la resolución impugnada, en los que se concluye que no existe ninguna duda sobre la plena aplicabilidad de la normativa de protección de datos personales, en aquellos casos, como el presente, “en los que la etiqueta contiene información personal, o pueda relacionarse con recursos que la vinculen con información de esta naturaleza”, y que “las medidas de seguridad serán particularmente relevantes cuando, debido a la interoperabilidad de este tipo de productos, la información pudiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 ser leída por organizaciones ajenas a la del responsable de los tratamientos, debiéndose evitar a toda costa accesos no autorizados”. De lo expuesto en los citados Fundamentos, se estima oportuno destacar lo siguiente: <<En el presente caso, ha quedado acreditado que la información contenida en las tarjetas de crédito con tecnología contactless emitidas por CAIXACARD y la que transmite por radiofrecuencia para su identificación incluye datos de carácter personal relativos al titular respectivo de dichas tarjetas (los reseñados en el Hecho Probado Cuarto), incluido el nombre del titular hasta el año 2014. En relación con el número de la tarjeta de crédito, el Informe del Servicio Jurídico de la AEPD 127/2006 se refiere a su naturaleza de datos de carácter personal siempre y cuando aparezcan asociados a otros que permitan conocer la identidad de su titular. Por tanto, la emisión y utilización de las citadas tarjetas de crédito constituye un tratamiento de datos personales incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. En su escrito de alegaciones a la propuesta de resolución, CAIXACARD ha señalado que las tarjetas emitidas a partir del primer semestre de 2014 se modificó el protocolo aplicado por VISA y MASTERCARD, evitando que el nombre del titular se emitiera por radiofrecuencia en las tarjetas Contactless, de modo que ya no es posible acceder a ningún dato de carácter personal de los titulares de las tarjetas, por cuanto el PAN, la fecha de caducidad y el código de verificación de la tarjeta no van asociados a ningún cliente, y por tanto no les resulta de aplicación la normativa de protección de datos. Añade CAIXACARD que todos estos datos se refieren al dispositivo, no a su titular, y la conexión entre los datos de identificación del dispositivo y la identidad de su titular solo consta en los sistemas del emisor, debidamente protegido. Sin embargo, no es cierto que la información a la que se refiere CAIXACARD esté excluida del ámbito de aplicación de la LOPD y sus normas de desarrollo, por no ajustarse al concepto de datos de carácter personal. Tal como indica CAIXACARD, dicha información (PAN, la fecha de caducidad y el código de verificación de la tarjeta) están registrados en sus sistemas de información asociada a los datos identificativos de sus clientes y, por tanto, le es aplicable la citada normativa y, específicamente, las relativas a la seguridad de los datos. No cabe admitir que esta información no se ajuste al concepto de datos de carácter personal por el hecho de que el acceso indebido a la misma por parte de un tercero no permita a éste identificar al titular de la tarjeta. Lo determinante es si esa información pertenece a una persona identificada o identificable para la entidad responsable del fichero en el que dichos datos están registrados o para el responsable de su tratamiento. Anteriormente se citó el dictamen del Gabinete Jurídico de la AEPD127/2006, en el que se indica lo siguiente: “En primer lugar, la utilización del dato del número de la tarjeta de crédito de los afectados… supondrá un tratamiento de datos de carácter personal siempre y cuando aparezcan asociados a otros que permitan conocer la identidad de su titular…”. En definitiva, la emisión y utilización de las tarjetas de crédito emitidas por CAIXACARD con tecnología Contactles, ya se trate de las emitidas inicialmente como las emitidas a partir del primer semestre de 2014, constituye un tratamiento de datos personales incluido dentro del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. Sobre esta cuestión, el Grupo de trabajo del Artículo 29 (GT), órgano de carácter consultivo compuesto por representantes de las autoridades nacionales de protección de datos de los Estados miembros, el Supervisor Europeo de Protección de Datos y la Comisión Europea, facultado para examinar cualquier cuestión que esté relacionada con la aplicación de las directivas en materia de protección de datos para contribuir a la aplicación uniforme de las mismas, en su Dictamen 4/2007, sobre el concepto de dato personal, mantiene el criterio según el cual cuando un identificador único se asocia con una persona, entra en la definición de datos personales establecido en la Directiva 95/46/CE, del parlamento europeo y del consejo de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos>>. Y en el mismo Fundamento de Derecho Tercero se citó el Dictamen 0226/2013 del Gabinete Jurídico de la AEPD, sobre la aplicabilidad de las medidas de seguridad previstas en la normativa de protección de datos de carácter personal y la necesidad de efectuar una evaluación en el caso de tarjetas que incorporan la tecnología RFID: “…debe recordarse que, como ha señalado reiteradamente la Audiencia Nacional en sus sentencias (por todas ellas SAN de 6-10-2011), la seguridad constituye una obligación de resultado consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. Por consiguiente, teniendo en cuenta la existencia de programas que pueden permitir a terceros no autorizados el acceso a los datos contenidos en la tarjeta, deberá adoptarse un procedimiento que impida un acceso indebido a cualquiera de los datos contenidos en la tarjeta”. “De lo expuesto anteriormente se desprende que la aplicación de la normativa de protección de datos nacional, debe ser complementada cuando se utiliza la tecnología RFID con una evaluación de impacto, que puede considerarse como un ejercicio de análisis de los riesgos que un determinado sistema de información, producto o servicio puede entrañar para el derecho fundamental a la protección de datos de las personas cuyos datos se tratan y, como consecuencia de ese análisis, la gestión de dichos riesgos mediante la adopción de las medidas necesarias para eliminar o mitigar en lo posible aquellos que se hayan identificado. Dicha evaluación de impacto en el presente caso, debe efectuarse siguiendo lo señalado en el Marco de Evaluación de Impacto aprobado por el Grupo de Trabajo del artículo 29…”. Este Dictamen 0226/2013, que concluye la obligatoriedad de adoptar las medidas de seguridad pertinentes, se emite con motivo de una consulta relativa a un lector NFC, de comunicación inalámbrica por proximidad a menos de un centímetro. Incluso en estos casos, y no sólo cuando la lectura sea posible a distancias superiores, es obvia la aplicación de la LOPD y, en concreto, de las medidas de seguridad establecidas normativamente. Esta misma cuestión ha sido examinada en el Dictamen del Gabinete Jurídico 0468/2010: “La consulta plantea si resulta conforme a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre que por parte de los proveedores de servicios de pago españoles se facilite a la consultante información relativa a las operaciones comerciales realizadas con tarjetas de crédito de la consultante en España, consintiendo tales datos en los relativos al número de tarjeta de crédito, el código de procesamiento, el importe de la transacción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 y la identificación del comerciante beneficiario de la operación. La consulta señala que dado que la información facilitada no incluirá los datos de nombre, apellidos, documento nacional de identidad o dirección del titular de la tarjeta, no se procederá a una cesión de datos de carácter personal… En cuanto a los restantes datos, debe partirse del concepto de dato de carácter personal establecido en el artículo 5.1
  3. d)del Reglamento, que considera datos “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”, añadiendo el artículo 5.1
  4. o)que será persona identificable “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este sentido, debe recordarse que el derecho a la protección de datos ha sido considerado por la Sentencia del Tribunal Constitucional un derecho fundamental de la persona, lo que exige que la interpretación de las normas que garantizan tal derecho sea siempre favorable a su protección. De este modo, la Audiencia Nacional interpreta el concepto de dato personal de una forma sumamente extensiva, considerando que nos encontraremos ante datos de carácter personal siempre que fuera posible la identificación de los mismos por un tercero que se relacione con el tratamiento que se lleve o pretenda llevarse a cabo. En el presente caso no cabe duda que aun cuando no sean facilitados a la consultante los datos identificativos del titular de la tarjeta, dicho titular aparece plenamente identificado para el proveedor de servicios de pago que comunica a la consultante tales datos, lo que hace considerar al titular de la tarjeta como persona identificable a los efectos previstos en la Ley Orgánica 15/1999 y su normativa de desarrollo, siendo los datos facilitados datos de carácter personal conforme a dicha normativa. No obstante, el hecho de que sea aplicable al caso la legislación de protección de datos no implica necesariamente que la transmisión planteada en la consulta, que incluiría como dato personal el relativo al número de la tarjeta de crédito con la que se realiza la transacción, resulte prohibido por la citada normativa”. Por otra parte, CAIXACARD ha manifestado que la versión VCPS 2.1.1 de las tarjetas no incluyen entre la información transmitida los datos relativos a nombre y apellidos del titular de la tarjeta, y que este proceso de disociación excluye la aplicación de la LOPD. Sin embargo, la exclusión del ámbito de aplicación de la citada norma se refiere a supuestos en los que el responsable únicamente trate datos disociados, entendidos conforme a la definición recogida en el artículo 5.1.
  5. e)del Reglamento de desarrollo de la Ley Orgánica, como aquellos que no permiten la identificación de un afectado o interesado. La letra
  6. f)del artículo 3 de la LOPD define el procedimiento de disociación como “todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable”. De este modo para que un procedimiento de disociación pueda ser considerado suficiente a los efectos de la citada Ley Orgánica, será necesario que de la aplicación de dicho procedimiento resulte imposible asociar el dato o datos de que se disponga a un sujeto determinado. Esta Agencia ha venido señalando que para ello será preciso que no exista la posibilidad, incluso remota, de que, mediante la utilización, con carácter previo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 coetáneo o posterior de cualquier medio (proceso informático, programa, herramienta del sistema, etcétera), la información concerniente a los afectados por el tratamiento de datos, que obre en poder del consultante, pueda revelar su identidad. Datos “anónimos”, por tanto, como cualquier información relativa a una persona física que no permita su identificación por el responsable del tratamiento o por cualquier otra persona. El Considerando 26 de la Directiva 95/46/CE hace referencia a este concepto señalando que “los principios de protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado”. En consecuencia, existiendo un identificador único que permite a CAIXACARD asociar los datos de la tarjeta a los datos personales del titular, no puede entenderse que nos encontremos ante datos disociados en la definición dada por el Reglamento de desarrollo de la Ley Orgánica 15/1999. Esto es, no habiéndose producido un procedimiento de disociación que impida la asociación del dato con una persona identificada o identificable, la aplicación de la Ley Orgánica 15/1999 no puede quedar excluida. Finalmente, se estima oportuno destacar que las alegaciones formuladas, referidas principalmente a la eliminación en la información transmitida de los datos personales relativos a nombre y apellidos en la nueva versión de las tarjetas, conlleva un reconocimiento de los hechos imputados en relación con la primera versión de las tarjetas (las emitidas hasta septiembre de 2014), que sí transmitía dichos datos. Así, aunque prescindiéramos de los argumentos anteriores, las irregularidades apreciadas, consideradas sólo en relación con la primera versión de las tarjetas, tienen entidad suficiente para entender consumada la infracción que se declara en la Resolución recurrida, especialmente si se considera que dichas tarjetas no fueron retiradas por CAIXACARD a pesar de que era consciente de su irregularidad. III Cabe remitirse a lo indicado en el Fundamento de Derecho V, en el que se detallan las conclusiones sobre los hechos determinantes de la infracción, que no han merecido ninguna atención por parte de CAIXACARD en su recurso, en el que se limita a reproducir sus alegaciones anteriores. En dicho Fundamento se pone de manifiesto lo siguiente: <<Según consta en los hechos probados, la información contenida en las tarjetas objeto de las actuaciones, que además es transmitida por radiofrecuencia, contiene datos personales de su titular (los reseñados en el Hecho Probado Cuarto), incluido su nombre y apellidos hasta el primer semestre de 2014; y que, con los dispositivos adecuados, es posible que un tercero pueda obtener dicha información a distancias de hasta dos metros, sin que el titular datos sea consciente de que sus datos están siendo recabados. CAIXACARD no ha establecido ninguna garantía para determinar si la comunicación se establece a través de un terminal auténtico. Y esto ocurre a pesar de que CAIXACARD es consciente de todas las deficiencias apreciadas en el sistema, que se exponen claramente en un Informe de Auditoría titulado “Informe de Auditoría de Plataforma (Pago con Targetas (sic) Contactless) ref: 727-022-IAP – Sistema de Gestión de Seguridad de la Información”, de fecha 17/07/2012, y otro posterior que actualiza la revisión efectuado en aquel, titulado “Informe de Seguridad Informática Num. **** – Informe Ejecutivo – C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Actualización revisión de seguridad de tarjetas de pago contactless”, fechado el 25/09/2014. Según consta en el último informe citado, en el que se concreta el propósito de la revisión de seguridad en determinar la “interceptación de los datos que pueda contener la tarjeta”, CAIXACARD conocía el problema de seguridad que representa la identificación del titular de la tarjeta con la indicación de su nombre y apellidos que figuran entre los datos que la misma transmite; que el protocolo que utilizan la tarjetas contactless “no tiene controles que impidan a un atacante la lectura de algunos de los datos contenidos en la tarjeta”, “no establece ningún control de autenticación para que la tarjeta verifique que está hablando con un TPV válido, posibilitando que la información contenida en la tarjeta pueda ser consultada”; que los datos pueden obtenerse interrogando una tarjeta o interceptando una comunicación; y que el alcance de la comunicación puede ser de “hasta medio metro en dispositivos pasivos y casi 2 metros en dispositivos activos”. En el resumen de vulnerabilidades, se indica que pueden ser asumidas por CAIXACARD “por ser inherente a la tecnología y por el análisis del fraude que revela la imposibilidad actual de que ocurra”. Los riesgos derivados de las deficiencias de seguridad expresadas y el nivel de seguridad asignado al sistema (medio-bajo) fueron valorados y/o determinados por CAIXACARD únicamente desde el punto de vista de su negocio, llegando a la conclusión de que tales riesgos serían asumidos por la propia entidad. Por otra parte, ante la evidencia de la lectura del nombre del titular en las tarjetas anteriores a 2014, y a pesar de que el informe de auditoría recomienda “acelerar la renovación anticipada del parque de tarjetas” la acción acordada fue la “renovación por vencimiento u otras causas que puedan suceder”. Asimismo, se acordó igualmente que el riesgo que pudiera derivarse de este fallo lo asumiría CAIXACARD. Dichas deficiencias de seguridad resultan, al menos, de una falta de diligencia plenamente achacable a CAIXACARD, responsable de las tarjetas en cuestión y de los datos personales de sus clientes. En consecuencia, dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que CAIXACARD ha incurrido en la infracción grave descrita. Dicha entidad, en sus alegaciones, cuestiona la posibilidad de lectura de la tarjeta de crédito a una distancia superior a 5 cm., sin considerar que la conclusión anteriormente expuesta resulta de sus propias comprobaciones, según ha quedado expuesto. En cualquier caso, omite cualquier pronunciamiento sobre el resto de deficiencias de seguridad señaladas (no tiene controles que impidan a un atacante la lectura de algunos de los datos contenidos en la tarjeta; no establece ningún control de autenticación para que la tarjeta verifique que está hablando con un TPV válido; los datos pueden obtenerse interrogando una tarjeta o interceptando una comunicación), con entidad suficiente para entender vulnerado el principio de seguridad de los datos. Por otra parte, interesa destacar de nuevo que la posibilidad de que un tercero pueda acceder a la información contenida en la tarjeta y transmitida por radiofrecuencia, utilizando para ello un dispositivo tan común como un teléfono móvil, tras descarga de una aplicación de libre disponibilidad, ha sido constatada por los Servicios de Inspección de la Agencia Española de Protección de Datos, según consta en la Diligencia 12/05/2015, reseñada en el Antecedente Noveno>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 IV CAIXACARD alega en su recurso que la emisión de la tarjeta de pago y la incorporación de la información que hace posible su funcionamiento está claramente amparada en los supuestos contemplados en el artículo 11.2.
  7. c)de la LOPD, que establece la legitimidad de la comunicación de datos a terceros, cuando el tratamiento responda a la libre y legitima aceptación de una relación jurídica. Nuevamente procede remitirse a la Resolución impugnada, en la que expresamente se indicó lo siguiente: “Del mismo modo, se estima oportuno advertir a la entidad imputada que en este procedimiento no se cuestiona la legitimidad del tratamiento de los datos, que deriva de una relación contractual, ni la utilización del dispositivo como un instrumento de pago, sino la falta de medidas de seguridad expuesta. VI El importe de la sanción se determinó en el Fundamento de Derecho IX de la Resolución impugnada. En este mismo Fundamento se declaró que, desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto. En este caso, CAIXACARD ha puesto de manifiesto en su recurso distintas circunstancias modificativas de su culpabilidad que han de ser consideradas, referidas a la existencia de estándares internacionales que las entidades emisoras de las tarjetas han de respetar en beneficio de la interoperabilidad del sistema de pagos. En relación con esta alegación debe tenerse en cuenta que el artículo 9.2 de la LOPD relaciona las medidas de seguridad con la naturaleza de los datos almacenados, los riesgos a los que están expuestos y el estado de la tecnología disponible y, por tanto, con los estándares definidos a nivel mundial por las entidades que se citan en los antecedentes de hecho. Estas circunstancias inciden sobre la interoperabilidad global de las tarjetas y, consiguientemente, sobre las posibilidades de uso por sus titulares. La concurrencia de estas circunstancias, si bien no excluyen la responsabilidad de CAIXACARD por los motivos que se han detallado exhaustivamente en los Fundamentos de Derecho II y III anteriores, puede ser tenida en cuenta para modular la culpabilidad de dicha entidad, que resulta sustancialmente atenuada, y justifica la aplicación de lo dispuesto en el artículo 45.5 de la LOPD y la imposición de una multa por el importe establecido para las infracciones leves. En cuanto a la graduación de la sanción según los criterios establecidos en el artículo 45.4 de la LOPD, se consideran, por un lado, las circunstancias puestas de manifiesto en la resolución recurrida, especialmente “la falta de respuesta por parte de CAIXACARD para regularizar unas incidencias que conoce, al menos, desde el año 2012” y “el volumen de datos personales afectados por la incidencia (los datos personales de los titulares de cuatro millones de tarjetas con tecnología contactless)”; y por otro lado, las medidas adicionales que CAIXACARD tiene previsto implantar para mejorar la información sobre la tecnología Contactless ofrecida a sus clientes y para la actualización de todo el parque de tarjetas emitidas en la versión inicial de la tecnología Contactless (emisión que transmitía el nombre y apellidos del titular), minorando los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 riesgos que se derivan de un posible acceso a la información por parte de terceros no autorizados; estimándose procedente modificar la sanción impuesta en la Resolución recurrida, de fecha 16/07/2015, para establecer su importe en un total de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por CAIXA CARD 1 Establecimiento Financiero de Crédito, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 16 de julio de 2015, en el procedimiento sancionador PS/00002/2015, e imponer una sanción en la cuantía de 20.000 euros (veinte mil euros), de acuerdo con el artículo 45.2 y 4 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXA CARD 1 Establecimiento Financiero de Crédito, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.