1/7
Expediente N.º: EXP202201718
RESOLUCIÓN DE ARCHIVO DE ACTUACIONES
De las actuaciones practicadas por la Agencia Española de Protección de Datos y
teniendo como base los siguientes:
HECHOS
PRIMERO: Don A.A.A. (en adelante, la parte reclamante) con fecha 27 de diciembre
de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF
A48265169 (en adelante, la parte reclamada o BBVA).
Los motivos en que basa la reclamación son los siguientes:
El reclamante es titular de una cuenta abierta en la entidad reclamada, la cual tiene
asociada una tarjeta de débito. Manifiesta que, en fecha 11 de octubre de 2021, se
realizó un cargo fraudulento en su tarjeta, correspondiente a una compra que el
reclamante no había realizado, de un importe de 1500 euros. Al tratarse de un importe
alto, la entidad reclamada procedió, con posterioridad, al bloqueo de la actividad en la
App del reclamante, por seguridad. Aporta denuncia presentada ante la Policía, en
fecha 14 de octubre de 2021, comunicación de la incidencia a la entidad reclamada, el
14 de octubre de 2021, pantallazo relativo a la operación fraudulenta y reclamación
ante la OMIC, de fecha 15 de noviembre de 2021.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 14 de febrero de 2022 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 23 de febrero de 2022 se recibe en esta Agencia escrito de respuesta que
no aportaba información alguna sobre la reclamación que le fue trasladada.
TERCERO: Con fecha 22 de marzo de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/7
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
1. El reclamante es cliente de la parte reclamada en virtud de un contrato de tarjeta de
crédito, suscrito desde la banca a distancia el 28/04/2017. Aportan copia del contrato
de tarjeta en el que figura un límite pactado de 1800 euros.
La parte reclamada indica que ha analizado la operativa llevada a cabo a través de la
tarjeta de crédito vinculada al referido contrato, y en este caso las operaciones se han
llevado a cabo mediante firma biométrica, para lo que ha sido necesario activar el
acceso biométrico en el móvil y activar la firma con biometría. Aportan registro del
envío de dos SMS al número móvil que indican fue validado por el reclamante, SMS
en los que le informan de las claves OTP para autentificar la solicitud (fecha 11 de
octubre de 2021, misma fecha que el cargo reclamado).
Indican que para registrar la firma biométrica es necesario introducir una clave OTP
que fue enviada por SMS al teléfono móvil validado del reclamante. La firma con
biometría permite a los clientes usar su huella, iris o el reconocimiento facial para
firmar algunas de las operaciones que se realizan a través de la app de la entidad.
Una vez activada, los clientes pueden firmar sus operaciones sin necesidad de recibir
un SMS con una clave de firma. Indican que en el caso que nos ocupa, la operación
con tarjeta de crédito controvertida, el segundo factor de autentificación fue la firma
biométrica que previamente había sido activada mediante validación de la clave OTP.
La parte reclamada informa que, a raíz de la incidencia interpuesta por el reclamante,
en fecha de 14 de octubre de 2021, en cumplimiento de la normativa vigente
restituyeron la cuenta de pago al estado en que se encontraba antes de la operación
cuestionada. Aportan apunte de anulación del importe de 1500 euros, de fecha 15 de
octubre de 2021.
A continuación, la parte reclamada inicia a través del área especializada en fraudes las
labores de investigación, recabando los registros y documentación tanto interna como
externa para dilucidar si se trata de una operación realizada correctamente desde el
punto de vista operativo. Concluyen tras el análisis de las evidencias e informe del
proveedor de servicios de pago, que la operación de comercio electrónico denunciada
por el reclamante desde el punto de vista estrictamente operativo debe considerarse
correcta, pues se realizó sin fallos, y sin que pueda considerarse una operación no
autorizada en los términos establecidos en la normativa de Servicios de Pago.
Destacan que en el momento de la compra el reclamante tuvo que: (i) disponer de la
información contenida en la tarjeta, esto es numeración, fecha de caducidad y código
CVV; (ii) tener en su poder el dispositivo validado donde la parte reclamante le había
remitido la clave OTP para activar la firma con biometría; (iii) validar la operación
mediante reconocimiento facial, de iris o huella digital.
Indican que comunicaron al reclamante la resolución de la incidencia y procedieron a
retroceder el abono realizado en la cuenta del reclamante. Ante ello, el reclamante
presentó ante el Servicio de Atención al Cliente una reclamación manifestando su
disconformidad con la resolución anterior. El 23 de noviembre de 2021 se desestimó la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/7
petición de reclamante. Se verifica que, en la comunicación remitida al reclamante,
cuya copia aportan, se cita:
“Analizando la operativa llevada a cabo por la tarjeta a la que se hace referencia en su
escrito las operaciones están realizadas sin que exista ningún tipo de falsificación al
estar validadas mediante clave OTP enviada por SMS a su teléfono móvil.
Por ello le comunicamos que lamentablemente en esta ocasión no nos es posible
atender favorablemente su petición.”
En relación con las medidas de seguridad o controles adoptados con carácter previo a
la operación de compra, los representantes de la parte reclamada manifiestan que:
- Se emitió una alerta al reclamante vía Email y Push (SMS) (datos de contacto
validados) de aviso de acceso desde otro dispositivo móvil.
- Se comunicó al reclamante vía Email y Push (datos de contacto validados) la
activación de la firma biométrica.
- Se le informó vía Email y Push de que se le había bloqueado la banca electrónica por
sospecha de actividad fraudulenta, lo que pudo impedir posteriores disposiciones no
reconocidas por el cliente.
Han aportado captura de pantalla con el registro de la remisión al teléfono móvil del
reclamante la clave OTP para activar la firma biométrica. Se verifica que el número de
teléfono al que se remitió la clave OTP, que figura en el citado registro, se corresponde
con el número de teléfono aportado por el reclamante como suyo en la denuncia ante
la policía nacional adjunta a su reclamación.
2. Realizado un requerimiento de información, con fecha 4 de abril de 2022, la entidad
reclamada responde en fecha 21 del mismo mes y año, con la siguiente información y
documentación adicional:
- El origen del cargo es un comercio electrónico, no estando la tarjeta presente, con el
principal medio de autentificar al cliente mediante 3DS (3-D Secure, o tres dominios
seguros). Aportan copia del informe correspondiente al cargo facilitado por el
proveedor de servicios de pago.
- El mismo día de la operación la parte reclamada remitió a la parte reclamante una
alerta por doble conducto - email y push - de que la aplicación de banca online se
había dado de alta en otro dispositivo distinto (inicio de sesión desde un nuevo
dispositivo). Aportan captura de pantalla del registro de ambas comunicaciones y de
los datos del cliente con la indicación de estado “validado” (dirección de correo y
número de teléfono móvil). Se verifica que el número de línea móvil se corresponde
con el número aportado por el reclamante como suyo en la denuncia ante la policía
nacional adjunta a su reclamación.
- Aportan también captura de pantalla con la comunicación, también por doble
conducto - email y push - que la entidad reclamada realizó al reclamante comunicando
el bloqueo de forma temporal de su acceso a la banca digital con el siguiente motivo
“Hemos detectado una actividad sospechosa reciente y por tu seguridad, se ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/7
bloqueado de forma temporal tu usuario de acceso a tu banca digital.” (Texto del
correo electrónico).
- Los representantes de la parte reclamada manifiestan que la operación controvertida
se ejecutó correctamente y fue autentificada, y no obstante de forma preventiva la
entidad procedió a restringir la operativa de la tarjeta de crédito con la finalidad de
verificar con el cliente que las operaciones que solicitaba a través de la banca digital
no eran consecuencia de un engaño. Indican que tienen establecidos en sus sistemas
patrones que ayudan a detectar operaciones que requieran de medidas de seguridad
adicionales por prevención y que en este caso se ha alertado al usuario de que se ha
producido un acceso a su banca digital a través de un dispositivo diferente al habitual.
La entidad permite dicho acceso, dado que operativamente es correcto (se realiza
introduciendo el código de usuario y clave correcta) y porque es muy habitual que los
usuarios de banca digital entren desde diferentes dispositivos, pero se envía una alerta
al cliente de manera preventiva, de tal manera que si no se reconociera dicho acceso
el usuario podría bloquear temporalmente y de forma inmediata su banca digital.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE)
2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a
cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas
actuaciones de investigación la Directora de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Seguridad del tratamiento
El artículo 32 del RGPD estipula lo siguiente:
"1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/7
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros."
III
Síntesis de los hechos
A este respecto, de lo contenido en las actuaciones previas de investigación, acerca
de las medidas de seguridad que BBVA tiene implementadas para evitar actuaciones
fraudulentas en compras on line y verificar que el comprador es el titular de la tarjeta
utilizada, se observa lo siguiente:
La parte reclamante reclamó porque, en fecha 11 de octubre de 2021, se realizó un
cargo fraudulento en su tarjeta, correspondiente a una compra que no había realizado,
de un importe de 1500 euros. Al tratarse de un importe alto, la entidad reclamada
procedió, con posterioridad, al bloqueo de la actividad en la App del reclamante, por
seguridad.
La parte reclamada ha aportado información y acreditación documental de los
controles desplegados con relación al cargo con tarjeta reclamado, habiéndose
evidenciado en concreto lo siguiente:
La operación controvertida de tarjeta de crédito se corresponde con una operación
realizada por comercio electrónico (por Internet, sin estar la tarjeta presente). Para su
realización se tuvo que disponer de la información contenida en la tarjeta: su
numeración, fecha de caducidad y código CVV. La operación fue validada mediante
firma biométrica.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/7
La operativa con firma biométrica fue activada el mismo día de la operación mediante
clave OTP (clave de un solo uso remitida por SMS) enviada a la línea móvil del
reclamante. La parte reclamada ha aportado evidencias de este extremo consistentes
en captura de pantalla con el registro de la remisión de la clave OTP para dicha
activación, y se ha verificado que el número de teléfono al que se remitió se
corresponde con el número de teléfono aportado por el reclamante como suyo en la
denuncia ante la policía nacional adjunta a su reclamación.
También se remitió previamente una alerta de inicio de sesión en dispositivo nuevo,
habiendo aportado la parte reclamada evidencias de este envío, por correo electrónico
y SMS, comprobándose que el número de destino del SMS se corresponde igualmente
con el número de teléfono aportado por el reclamante como suyo en su denuncia ante
la policía nacional.
Por último, la parte reclamada bloqueó la operativa online para el usuario de forma
preventiva avisando al reclamante y aportando evidencias del envío de dicha alerta,
por correo electrónico y SMS al mismo número de teléfono.
IV
Conclusión
Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado
evidencias que acrediten la existencia de infracción en el ámbito competencial de la
Agencia Española de Protección de Datos, al haber actuado BBVA de forma diligente
una vez conocida la utilización fraudulenta de la tarjeta de débito de un cliente de la
entidad reclamada.
Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de
Protección de Datos,
SE ACUERDA:
PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones.
SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y a BANCO BILBAO
VIZCAYA ARGENTARIA, S.A.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, y de conformidad con lo establecido en los
arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán
interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/7
adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción
Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente
a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
940-110422
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es