REPOSICION-PS-00217-2023

(3)llamadas al teléfono del Servicio al Cliente de PIBANK, según manifiesta la Reclamante, no habían sido efectuadas por ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Posteriormente, según indica la Sra. A.A.A., el día 28 de septiembre de 2021, intentó acceder a la Banca Online de PIBANK, averiguando que su contraseña habitual generaba error de acceso, motivo por el que se pone en contacto con el Servicio al Cliente de PIBANK, a través del número de contacto 911110000, con el fin de recuperar sus claves de la Banca Online. Cuando un cliente solicita la recuperación de claves a la Banca Online en la Entidad, el operador que atiende la llamada tiene que realizar una serie de preguntas de seguridad articuladas como mecanismos de defensa de identificación de clientes, realizándole al cliente preguntas cuya respuesta sería sencilla de recordar para ellos, pero al mismo tiempo sean difíciles de adivina por cualquier otra persona. (…): o (…) o (…) o (…) o (…) o (…) o (…) o (…) o (…) (…). (…). En relación con lo anterior, cabe destaca que, en el momento de los hechos, el Banco tenía externalizados los servicios de atención al cliente con la entidad GLOBAL SALES SOLUTIONS LINE, S.L…quien se encargaba entre otras cuestiones de atender las llamadas entrantes a la Entidad…”. “…Pese a que, como se ha evidenciado, el Banco había reiterado en diferentes ocasiones, y por distintos medios, a su Proveedor cual era el procedimiento para que un cliente pudiese recuperar sus claves de la Banca Online, así como las instrucciones específicas relativas al modus operandi de los operadores ante situaciones en las que el cliente no responde de manera acertada y con claridad a las preguntas efectuadas, en la llamada efectuada por el operador de GSS a la Sra. A.A.A. el día 6 de septiembre de 2021 a las 12:13 horas, dicho operador no cumple estrictamente con el protocolo establecido por la Entidad, puesto que, (…), el operador continúa realizando más preguntas a la Reclamante, iniciando, finalmente, el proceso de envío automático del correspondiente código OTP por SMS al número de teléfono que la Denunciante proporcionó al Banco en el momento de la apertura de cuenta (recordemos que dicho número fue verificado por la propia Reclamante en el momento de la contratación, tal y como ha sido expuesto ut supra), y que le permitiría realizar el cambio de contraseña de la Banca Online. Al respecto, es interés de la Entidad poner en conocimiento de esta Agencia que, a pesar de tratarse de una llamada, que posteriormente, fue considerada como fraudulenta, hecho del que el Banco tuvo conocimiento a posterior, a través de las comunicaciones efectuadas por la Reclamante días después, el Banco puso a disposición del Proveedor todas las herramientas necesarias para cumplir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 estrictamente con la normativa vigente, y no habiendo detectado ningún indicio de irregularidad que le llevase a desconfiar de una posible contratación fraudulenta. En este sentido, el Banco considera que, de haber un incumplimiento, éste sería imputable a GSS, toda vez que el artículo 28.10 RGPD establece que: “si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento respecto a dicho tratamiento.” A la luz de lo anterior, y tal y como ha quedado evidenciado, el Proveedor, incumplió las instrucciones facilitadas por el Banco, debiendo en este caso adquirir la condición de responsable del tratamiento…”. TERCERO: Con fecha 20 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 2 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, solicita se tenga por presentado junto con los documentos que se acompañan, se admitan y teniendo por formuladas las anteriores alegaciones, y previo los trámites oportunos, se acuerde: - - El archivo del expediente referenciado dejando sin efecto el procedimiento sancionador iniciado. En el supuesto de que la anterior pretensión no sea acogida por la Agencia, se solicita que se tenga en cuenta las circunstancias atenuantes fundamentadas y, consecuentemente, culmine el procedimiento mediante un apercibimiento. En el hipotético caso de que finalmente ninguna de las anteriores pretensiones fuera acogida por la AEPD; en última instancia, se solicita que se proceda a minorar las cuantías establecidas en el Acuerdo, atendiendo a los argumentos manifestados en el cuerpo del escrito. En sus alegaciones, en síntesis, la parte reclamada aduce: 1.- En su primera alegación, BANCO hace referencia a que ha contado, en todo momento, con legitimación suficiente y adecuada para el tratamiento de los datos personales de la parte reclamante como consecuencia de la formalización, gestión y ejecución de la relación contractual mantenida por ambos. En relación a la suplantación considera que la Agencia debería imputar una infracción del artículo 6 en relación con el artículo 7 del RGPD a aquel que obtuvo y empleó los datos de la parte reclamante para obtener un beneficio ilícito. También BANCO señala que procedió inmediatamente a la devolución de las cantidades sustraídas, a pesar del sobreseimiento judicial de las actuaciones. Por último, se hace referencia a distintas resoluciones de archivo de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 2.- En su segunda alegación, BANCO procede a analizar la desproporcionalidad de la sanción, así como los gravantes aplicados en la graduación de la sanción, señalando como atenuantes a efectos de reducir la sanción administrativa: - Que la entidad actuando de buena fe, diligencia y proactividad, solventó la incidencia objeto de reclamación de forma efectiva. - La ausencia de facilitación de los datos de carácter personal de la parte reclamante a un tercero junto con los procedimientos instaurados por parte de la mercantil. - La inexistencia de presuntas infracciones previas. - El alto grado de cooperación con el fin de ofrecer y poner a disposición de este organismo toda información que constaba a su disposición. - Que la entidad nunca facilitó ningún dato de carácter personal al suplantador de identidad. - Que la entidad nunca ha obtenido ningún tipo de beneficio. Finalmente, deja constancia que las medidas vigentes en el momento de los hechos cumplían las normas más rigurosas para hacer frente a los riesgos y que eran adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Si bien, se desestimaron las alegaciones presentadas. SEXTO: Con fecha 8 de agosto de 2024 se formuló propuesta de resolución, proponiendo se sancione a BANCO PICHINCHA ESPAÑA, S.A., con NIF A85882330, por una infracción del Artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 50.000 € (CINCUENTA MIL EUROS). SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito alegaciones, en fecha 21 de agosto de

1. En sus alegaciones, en síntesis, la parte reclamada manifiesta:
2. En su primera alegación, BANCO insiste en que siempre ha tratado los datos de carácter personal de Dña. A.A.A. (en adelante, indistintamente, la “Reclamante”) sobre una base jurídica adecuada de conformidad con lo establecido por el artículo 6 del RGPD y apunta que quien trató los datos sin legitimación suficiente y, por tanto, quien debiera haber contado con el consentimiento de la Reclamante para su debido tratamiento fue el suplantador, incurriendo la AEPD en un error por lo dispuesto en la Propuesta de Resolución. Por último, en esta misma alegación hace referencia a que la AEPD no ha seguido el mismo criterio del Juzgado de Instrucción (…) en relación al sobreseimiento, así como al principio certidumbre y al principio de indubio pro reo.
3. En su segunda alegación, BANCO insiste en la ausencia cualquier tipo de responsabilidad por las acciones llevadas por GSS, como encargado del tratamiento.
4. En su tercera alegación, BANCO hace referencia a jurisprudencia que ha venido determinado que una acción no puede ser sancionada sin que exista C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 cierto grado de intencionalidad, así como que la existencia de una infracción culpable constituye un requisito para la imposición de una multa.
5. Por último, BANCO alega el principio de proporcionalidad manifestando que la sanción propuesta no procede y, en el hipotético caso de que procediese, no resultaría proporcional al supuesto de hecho que nos ocupa. Finaliza su escrito de alegaciones señalando que adjunta dos justificantes de ingresos realizados a favor de la AEPD, de 40.000 € y 10.000 € respectivamente, y los motivos por los que ha realizado dichos pagos. Es taxativo en que los mismos no son un reconocimiento de los hechos imputados, sino que lo que se pretende es evitar posibles futuros devengos de intereses. OCTAVO: Con fecha 1 de octubre de se dicta por la Directora de la Agencia Española de Protección de Datos resolución imponiendo a BANCO PICHINCHA ESPAÑA, S.A., con NIF A85882330, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 50.000 € (CINCUENTA MIL EUROS). NOVENO: Notificada la citada resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó recurso de reposición, en el plazo legalmente establecido, en el que, en síntesis, manifiesta que: - - - En su primera alegación, insiste en que por parte de BANCO PICHINCHA no ha habido quebrantamiento de lo establecido en el artículo 6.1 del RGPD, recayendo la ausencia de falta de legitimación en el tercero que supuestamente suplantó la identidad de la titular de los datos. En su segunda alegación, BANCO PICHINCHA vuelve a argumentar que dio claras indicaciones a GSS de cómo debía proceder para el tratamiento de los datos de carácter personal respecto del servicio prestado por ésta y como el propio encargado del tratamiento reconoció los hechos imputados, la responsabilidad no puede irrogarse a BANCO PICHINCHA. En su tercera alegación, hace referencia a un error en la valoración de la prueba por parte de esta AEPD. En su última alegación, insiste en la ya alegada vulneración del principio de proporcionalidad, limitándose este organismo a trasladar la literalidad de lo dispuesto en su resolución en lo que se refiere a lo dispuesto en los artículos 83.4 y 83.5 del RGPD, omitiendo cualquier motivación en la observación del principio de proporcionalidad. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 II Fundamentos de la resolución recurrida En relación con las manifestaciones efectuadas en el recurso, que reiteran básicamente las ya realizadas en la tramitación del presente expediente, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos fundamentos continúan plenamente vigentes. En el presente caso, constan distintas llamadas a la entidad bancaria BANCO para llevar a cabo ciertas operaciones, tras un cambio de credenciales, que supusieron un total de 50.000 euros trasferidos de la cuenta bancaria de la parte reclamante a otras cuentas. Las operaciones realizadas no se llevaron a cabo dentro del ámbito de la relación contractual BANCO- cliente puesto que han sido realizadas por un tercero sin su consentimiento y sin que el BANCO verificara adecuadamente la identidad de su interlocutor, lo que ha dado lugar a considerar que se ha producido un tratamiento de los datos personales de la parte reclamante sin legitimación. Es evidente que, tanto en el procedimiento para que un cliente pudiese recuperar sus claves de la Banca Online como en las instrucciones específicas relativas al modus operandi de los operadores ante situaciones en las que el cliente no responde de manera acertada y con claridad a las preguntas efectuadas (la supuesta cliente indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria, mostrando dudas en la respuesta a cuál era su profesión…) no impidieron iniciar, finalmente, el proceso de envío automático del correspondiente código OTP por SMS al número de teléfono, permitiendo realizar el cambio de contraseña de la Banca Online y las consiguientes operaciones financieras ya mencionadas. Consta en el expediente y así lo manifiesta la parte reclamada que en la llamada efectuada por el operador de GSS a la parte reclamante el día 6 de septiembre, dicho operador no cumple estrictamente con el protocolo establecido por BANCO, puesto que “la supuesta clienta” indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria, así como dudas sobre su profesión. Es más, BANCO reconoce el error trasladando la responsabilidad al Proveedor por incumplir las instrucciones facilitadas por el mismo. “…Pese a que, como se ha evidenciado, el Banco había reiterado en diferentes ocasiones, y por distintos medios, a su Proveedor cual era el procedimiento para que un cliente pudiese recuperar sus claves de la Banca Online, así como las instrucciones específicas relativas al modus operandi de los operadores ante situaciones en las que el cliente no responde de manera acertada y con claridad a las preguntas efectuadas, en la llamada efectuada por el operador de GSS a la Sra. A.A.A. el día 6 de septiembre de 2021 a las 12:13 horas, dicho operador no cumple estrictamente con el protocolo establecido por la Entidad, puesto que, pese a que la supuesta cliente indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria, mostrando dudas en la respuesta a cuál era su profesión, el operador continúa realizando más preguntas a la Reclamante, iniciando, finalmente, el proceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 de envío automático del correspondiente código OTP por SMS al número de teléfono que la Denunciante proporcionó al Banco en el momento de la apertura de cuenta (recordemos que dicho número fue verificado por la propia Reclamante en el momento de la contratación, tal y como ha sido expuesto ut supra), y que le permitiría realizar el cambio de contraseña de la Banca Online. Al respecto, es interés de la Entidad poner en conocimiento de esta Agencia que, a pesar de tratarse de una llamada, que posteriormente, fue considerada como fraudulenta, hecho del que el Banco tuvo conocimiento a posterior, a través de las comunicaciones efectuadas por la Reclamante días después, el Banco puso a disposición del Proveedor todas las herramientas necesarias para cumplir estrictamente con la normativa vigente, y no habiendo detectado ningún indicio de irregularidad que le llevase a desconfiar de una posible contratación fraudulenta. En este sentido, el Banco considera que, de haber un incumplimiento, éste sería imputable a GSS, toda vez que el artículo 28.10 RGPD establece que: “si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento respecto a dicho tratamiento.” A la luz de lo anterior, y tal y como ha quedado evidenciado, el Proveedor, incumplió las instrucciones facilitadas por el Banco, debiendo en este caso adquirir la condición de responsable del tratamiento…”. Si bien, es el responsable del tratamiento el que debe aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y ser capaz de poder demostrar que el tratamiento es conforme con el Reglamento. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad y no en el encargado del tratamiento. III Conclusión Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, y que la finalidad del recurso es revisar la legalidad de la actuación administrativa, procede acordar su desestimación, sin perjuicio de que la parte recurrente puede formular una nueva reclamación aportando copia de todos los documentos relevantes de los que disponga, en relación con una posible infracción en el ámbito competencial de la Agencia. VI Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De acuerdo con lo establecido en el art. 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el art. 24.3 de la misma ley. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BANCO PICHINCHA ESPAÑA, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada en fecha 1 de octubre de 2024, resolución imponiendo a BANCO PICHINCHA ESPAÑA, S.A., con NIF A85882330, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 50.000 € (CINCUENTA MIL EUROS). SEGUNDO: NOTIFICAR la presente resolución a BANCO PICHINCHA ESPAÑA, S.A. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. 1245-21112023 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es