1/8
Expediente nº.: EXP202303035
RESOLUCIÓN DE RECURSO DE REPOSICIÓN
Examinado el recurso de reposición interpuesto por BANCO PICHINCHA ESPAÑA,
S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora
de la Agencia Española de Protección de Datos de fecha 1 de octubre de 2024, y en
base a los siguientes
HECHOS
PRIMERO: DOÑA A.A.A. (en adelante, la parte reclamante) con fecha 20 de enero de
2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra BANCO PICHINCHA ESPAÑA, S.A. con NIF A85882330
(en adelante, BANCO).
En el escrito recibido se informa de lo siguiente:
La parte reclamante manifiesta que su número de teléfono ***TELÉFONO.1, del que
es titular, fue clonado por parte de la mercantil DIGI SPAIN TELECOM, S.L.U.
("DIGI"),ya que el 4 de septiembre de 2021, sin ninguna medida de seguridad tendente
a identificar fehacientemente a la persona que lo solicitó, una tercera persona,
suplantando la identidad de la reclamante, solicitó la clonación del teléfono, con la
finalidad de realizar llamadas a la entidad bancaria BANCO PICHINCHA ESPAÑA,
S.A. y así llevar a cabo ciertas operaciones que supusieron un total de 50.000 euros
trasferidos de su cuenta bancaria a otras cuentas.
Junto a la notificación se aporta denuncia policial y reclamaciones efectuadas.
SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de
dicha reclamación a DIGI, para que procediese a su análisis e informase a esta
Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los
requisitos previstos en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 8 de marzo de 2023 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 5 de abril de 2023 se recibe en esta Agencia escrito de respuesta indicando
que“…en virtud de lo indicado por la Denunciante en la reclamación interpuesta ante
la AEPD, en fecha 7 de septiembre de 2021, con motivo de que su teléfono le venía
dando problemas, solicita a su operador de telefonía una copia de su tarjeta SIM, así
como un listado de las llamadas salientes efectuadas desde su número de teléfono,
comprobando que se habían realizado tres (3) llamadas al teléfono del Servicio al
Cliente de PIBANK, según manifiesta la Reclamante, no habían sido efectuadas por
ella.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
Posteriormente, según indica la Sra. A.A.A., el día 28 de septiembre de 2021, intentó
acceder a la Banca Online de PIBANK, averiguando que su contraseña habitual
generaba error de acceso, motivo por el que se pone en contacto con el Servicio al
Cliente de PIBANK, a través del número de contacto 911110000, con el fin de
recuperar sus claves de la Banca Online.
Cuando un cliente solicita la recuperación de claves a la Banca Online en la Entidad,
el operador que atiende la llamada tiene que realizar una serie de preguntas de
seguridad articuladas como mecanismos de defensa de identificación de clientes,
realizándole al cliente preguntas cuya respuesta sería sencilla de recordar para ellos,
pero al mismo tiempo sean difíciles de adivina por cualquier otra persona. (…):
o (…)
o (…)
o (…)
o (…)
o (…)
o (…)
o (…)
o (…)
(…).
(…).
En relación con lo anterior, cabe destaca que, en el momento de los hechos, el Banco
tenía externalizados los servicios de atención al cliente con la entidad GLOBAL
SALES SOLUTIONS LINE, S.L…quien se encargaba entre otras cuestiones de
atender las llamadas entrantes a la Entidad…”.
“…Pese a que, como se ha evidenciado, el Banco había reiterado en diferentes
ocasiones, y por distintos medios, a su Proveedor cual era el procedimiento para que
un cliente pudiese recuperar sus claves de la Banca Online, así como las
instrucciones específicas relativas al modus operandi de los operadores ante
situaciones en las que el cliente no responde de manera acertada y con claridad a las
preguntas efectuadas, en la llamada efectuada por el operador de GSS a la Sra.
A.A.A. el día 6 de septiembre de 2021 a las 12:13 horas, dicho operador no cumple
estrictamente con el protocolo establecido por la Entidad, puesto que, (…), el operador
continúa realizando más preguntas a la Reclamante, iniciando, finalmente, el proceso
de envío automático del correspondiente código OTP por SMS al número de teléfono
que la Denunciante proporcionó al Banco en el momento de la apertura de cuenta
(recordemos que dicho número fue verificado por la propia Reclamante en el momento
de la contratación, tal y como ha sido expuesto ut supra), y que le permitiría realizar el
cambio de contraseña de la Banca Online.
Al respecto, es interés de la Entidad poner en conocimiento de esta Agencia que, a
pesar de tratarse de una llamada, que posteriormente, fue considerada como
fraudulenta, hecho del que el Banco tuvo conocimiento a posterior, a través de las
comunicaciones efectuadas por la Reclamante días después, el Banco puso a
disposición del Proveedor todas las herramientas necesarias para cumplir
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
estrictamente con la normativa vigente, y no habiendo detectado ningún indicio de
irregularidad que le llevase a desconfiar de una posible contratación fraudulenta. En
este sentido, el Banco considera que, de haber un incumplimiento, éste sería
imputable a GSS, toda vez que el artículo 28.10 RGPD establece que: “si un
encargado del tratamiento infringe el presente Reglamento al determinar los fines y
medios del tratamiento, será considerado responsable del tratamiento respecto a
dicho tratamiento.”
A la luz de lo anterior, y tal y como ha quedado evidenciado, el Proveedor, incumplió
las instrucciones facilitadas por el Banco, debiendo en este caso adquirir la condición
de responsable del tratamiento…”.
TERCERO: Con fecha 20 de abril de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 2 de octubre de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del
RGPD.
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, solicita se
tenga por presentado junto con los documentos que se acompañan, se admitan y
teniendo por formuladas las anteriores alegaciones, y previo los trámites oportunos, se
acuerde:
- El archivo del expediente referenciado dejando sin efecto el procedimiento
sancionador iniciado.
- En el supuesto de que la anterior pretensión no sea acogida por la Agencia,
se solicita que se tenga en cuenta las circunstancias atenuantes
fundamentadas y, consecuentemente, culmine el procedimiento mediante
un apercibimiento.
- En el hipotético caso de que finalmente ninguna de las anteriores
pretensiones fuera acogida por la AEPD; en última instancia, se solicita que
se proceda a minorar las cuantías establecidas en el Acuerdo, atendiendo a
los argumentos manifestados en el cuerpo del escrito.
En sus alegaciones, en síntesis, la parte reclamada aduce:
1.- En su primera alegación, BANCO hace referencia a que ha contado, en todo
momento, con legitimación suficiente y adecuada para el tratamiento de los datos
personales de la parte reclamante como consecuencia de la formalización, gestión y
ejecución de la relación contractual mantenida por ambos. En relación a la
suplantación considera que la Agencia debería imputar una infracción del artículo 6 en
relación con el artículo 7 del RGPD a aquel que obtuvo y empleó los datos de la parte
reclamante para obtener un beneficio ilícito. También BANCO señala que procedió
inmediatamente a la devolución de las cantidades sustraídas, a pesar del
sobreseimiento judicial de las actuaciones. Por último, se hace referencia a distintas
resoluciones de archivo de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
2.- En su segunda alegación, BANCO procede a analizar la desproporcionalidad de la
sanción, así como los gravantes aplicados en la graduación de la sanción, señalando
como atenuantes a efectos de reducir la sanción administrativa:
- Que la entidad actuando de buena fe, diligencia y proactividad, solventó la
incidencia objeto de reclamación de forma efectiva.
- La ausencia de facilitación de los datos de carácter personal de la parte
reclamante a un tercero junto con los procedimientos instaurados por parte de
la mercantil.
- La inexistencia de presuntas infracciones previas.
- El alto grado de cooperación con el fin de ofrecer y poner a disposición de
este organismo toda información que constaba a su disposición.
- Que la entidad nunca facilitó ningún dato de carácter personal al suplantador
de identidad.
- Que la entidad nunca ha obtenido ningún tipo de beneficio.
Finalmente, deja constancia que las medidas vigentes en el momento de los hechos
cumplían las normas más rigurosas para hacer frente a los riesgos y que eran
adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de
aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como
los riesgos para los derechos y libertades de las personas físicas.
Si bien, se desestimaron las alegaciones presentadas.
SEXTO: Con fecha 8 de agosto de 2024 se formuló propuesta de resolución,
proponiendo se sancione a BANCO PICHINCHA ESPAÑA, S.A., con NIF A85882330,
por una infracción del Artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD,
con una multa de 50.000 € (CINCUENTA MIL EUROS).
SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas
en la LPACAP, la parte reclamada presentó escrito alegaciones, en fecha 21 de agosto
de 2024.
En sus alegaciones, en síntesis, la parte reclamada manifiesta:
1. En su primera alegación, BANCO insiste en que siempre ha tratado los datos
de carácter personal de Dña. A.A.A. (en adelante, indistintamente, la
“Reclamante”) sobre una base jurídica adecuada de conformidad con lo
establecido por el artículo 6 del RGPD y apunta que quien trató los datos sin
legitimación suficiente y, por tanto, quien debiera haber contado con el
consentimiento de la Reclamante para su debido tratamiento fue el
suplantador, incurriendo la AEPD en un error por lo dispuesto en la Propuesta
de Resolución.
Por último, en esta misma alegación hace referencia a que la AEPD no ha seguido el
mismo criterio del Juzgado de Instrucción (…) en relación al sobreseimiento, así como
al principio certidumbre y al principio de indubio pro reo.
1. En su segunda alegación, BANCO insiste en la ausencia cualquier tipo de
responsabilidad por las acciones llevadas por GSS, como encargado del
tratamiento.
2. En su tercera alegación, BANCO hace referencia a jurisprudencia que ha
venido determinado que una acción no puede ser sancionada sin que exista
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
cierto grado de intencionalidad, así como que la existencia de una infracción
culpable constituye un requisito para la imposición de una multa.
3. Por último, BANCO alega el principio de proporcionalidad manifestando que la
sanción propuesta no procede y, en el hipotético caso de que procediese, no
resultaría proporcional al supuesto de hecho que nos ocupa.
Finaliza su escrito de alegaciones señalando que adjunta dos justificantes de ingresos
realizados a favor de la AEPD, de 40.000 € y 10.000 € respectivamente, y los motivos
por los que ha realizado dichos pagos. Es taxativo en que los mismos no son un
reconocimiento de los hechos imputados, sino que lo que se pretende es evitar
posibles futuros devengos de intereses.
OCTAVO: Con fecha 1 de octubre de se dicta por la Directora de la Agencia Española
de Protección de Datos resolución imponiendo a BANCO PICHINCHA ESPAÑA, S.A.,
con NIF A85882330, por una infracción del artículo 6.1 del RGPD, tipificada en el
Artículo 83.5 del RGPD, una multa de 50.000 € (CINCUENTA MIL EUROS).
NOVENO: Notificada la citada resolución conforme a las normas establecidas en la
LPACAP, la parte reclamada presentó recurso de reposición, en el plazo legalmente
establecido, en el que, en síntesis, manifiesta que:
- En su primera alegación, insiste en que por parte de BANCO PICHINCHA
no ha habido quebrantamiento de lo establecido en el artículo 6.1 del
RGPD, recayendo la ausencia de falta de legitimación en el tercero que
supuestamente suplantó la identidad de la titular de los datos.
- En su segunda alegación, BANCO PICHINCHA vuelve a argumentar que
dio claras indicaciones a GSS de cómo debía proceder para el tratamiento
de los datos de carácter personal respecto del servicio prestado por ésta y
como el propio encargado del tratamiento reconoció los hechos imputados,
la responsabilidad no puede irrogarse a BANCO PICHINCHA.
- En su tercera alegación, hace referencia a un error en la valoración de la
prueba por parte de esta AEPD.
- En su última alegación, insiste en la ya alegada vulneración del principio de
proporcionalidad, limitándose este organismo a trasladar la literalidad de lo
dispuesto en su resolución en lo que se refiere a lo dispuesto en los
artículos 83.4 y 83.5 del RGPD, omitiendo cualquier motivación en la
observación del principio de proporcionalidad.
FUNDAMENTOS DE DERECHO
I
Competencia
Es competente para resolver el presente recurso la Presidencia de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123
de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo, LOPDGDD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
II
Fundamentos de la resolución recurrida
En relación con las manifestaciones efectuadas en el recurso, que reiteran
básicamente las ya realizadas en la tramitación del presente expediente, debe
señalarse que las mismas ya fueron analizadas y desestimadas en la resolución
impugnada, cuyos fundamentos continúan plenamente vigentes.
En el presente caso, constan distintas llamadas a la entidad bancaria BANCO para
llevar a cabo ciertas operaciones, tras un cambio de credenciales, que supusieron un
total de 50.000 euros trasferidos de la cuenta bancaria de la parte reclamante a otras
cuentas.
Las operaciones realizadas no se llevaron a cabo dentro del ámbito de la relación
contractual BANCO- cliente puesto que han sido realizadas por un tercero sin su
consentimiento y sin que el BANCO verificara adecuadamente la identidad de su
interlocutor, lo que ha dado lugar a considerar que se ha producido un tratamiento de
los datos personales de la parte reclamante sin legitimación.
Es evidente que, tanto en el procedimiento para que un cliente pudiese recuperar sus
claves de la Banca Online como en las instrucciones específicas relativas al modus
operandi de los operadores ante situaciones en las que el cliente no responde de
manera acertada y con claridad a las preguntas efectuadas (la supuesta cliente
indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria,
mostrando dudas en la respuesta a cuál era su profesión…) no impidieron iniciar,
finalmente, el proceso de envío automático del correspondiente código OTP por SMS
al número de teléfono, permitiendo realizar el cambio de contraseña de la Banca
Online y las consiguientes operaciones financieras ya mencionadas.
Consta en el expediente y así lo manifiesta la parte reclamada que en la llamada
efectuada por el operador de GSS a la parte reclamante el día 6 de septiembre, dicho
operador no cumple estrictamente con el protocolo establecido por BANCO, puesto
que “la supuesta clienta” indicaba en la llamada que desconocía el saldo que tenía en
su cuenta bancaria, así como dudas sobre su profesión.
Es más, BANCO reconoce el error trasladando la responsabilidad al Proveedor por
incumplir las instrucciones facilitadas por el mismo.
“…Pese a que, como se ha evidenciado, el Banco había reiterado en diferentes
ocasiones, y por distintos medios, a su Proveedor cual era el procedimiento para que
un cliente pudiese recuperar sus claves de la Banca Online, así como las
instrucciones específicas relativas al modus operandi de los operadores ante
situaciones en las que el cliente no responde de manera acertada y con claridad a las
preguntas efectuadas, en la llamada efectuada por el operador de GSS a la Sra.
A.A.A. el día 6 de septiembre de 2021 a las 12:13 horas, dicho operador no cumple
estrictamente con el protocolo establecido por la Entidad, puesto que, pese a que la
supuesta cliente indicaba en la llamada que desconocía el saldo que tenía en su
cuenta bancaria, mostrando dudas en la respuesta a cuál era su profesión, el operador
continúa realizando más preguntas a la Reclamante, iniciando, finalmente, el proceso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
de envío automático del correspondiente código OTP por SMS al número de teléfono
que la Denunciante proporcionó al Banco en el momento de la apertura de cuenta
(recordemos que dicho número fue verificado por la propia Reclamante en el momento
de la contratación, tal y como ha sido expuesto ut supra), y que le permitiría realizar el
cambio de contraseña de la Banca Online.
Al respecto, es interés de la Entidad poner en conocimiento de esta Agencia que, a
pesar de tratarse de una llamada, que posteriormente, fue considerada como
fraudulenta, hecho del que el Banco tuvo conocimiento a posterior, a través de las
comunicaciones efectuadas por la Reclamante días después, el Banco puso a
disposición del Proveedor todas las herramientas necesarias para cumplir
estrictamente con la normativa vigente, y no habiendo detectado ningún indicio de
irregularidad que le llevase a desconfiar de una posible contratación fraudulenta. En
este sentido, el Banco considera que, de haber un incumplimiento, éste sería
imputable a GSS, toda vez que el artículo 28.10 RGPD establece que: “si un
encargado del tratamiento infringe el presente Reglamento al determinar los fines y
medios del tratamiento, será considerado responsable del tratamiento respecto a
dicho tratamiento.”
A la luz de lo anterior, y tal y como ha quedado evidenciado, el Proveedor, incumplió
las instrucciones facilitadas por el Banco, debiendo en este caso adquirir la condición
de responsable del tratamiento…”.
Si bien, es el responsable del tratamiento el que debe aplicar las medidas técnicas y
organizativas apropiadas a fin de garantizar y ser capaz de poder demostrar que el
tratamiento es conforme con el Reglamento.
La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable,
que es quien determina la existencia del tratamiento y su finalidad y no en el
encargado del tratamiento.
III
Conclusión
Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos
hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución
impugnada, y que la finalidad del recurso es revisar la legalidad de la actuación
administrativa, procede acordar su desestimación, sin perjuicio de que la parte
recurrente puede formular una nueva reclamación aportando copia de todos los
documentos relevantes de los que disponga, en relación con una posible infracción en
el ámbito competencial de la Agencia.
VI
Resolución extemporánea
Debido a razones de funcionamiento del órgano administrativo, por ende, no
atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo
pronunciamiento de esta Agencia respecto al presente recurso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
De acuerdo con lo establecido en el art. 24 de la LPACAP, el sentido del silencio
administrativo en los procedimientos de impugnación de actos y disposiciones es
desestimatorio.
Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar
resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su
forma de iniciación, según dispone el art. 21.1 de la citada LPACAP.
En los casos de desestimación por silencio administrativo, la resolución expresa
posterior al vencimiento del plazo se adoptará por la Administración sin vinculación
alguna al sentido del silencio, según dispone el art. 24.3 de la misma ley.
Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de
reposición interpuesto.
Vistos los preceptos citados y demás de general aplicación, la Presidencia de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BANCO
PICHINCHA ESPAÑA, S.A. contra la Resolución de esta Agencia Española de
Protección de Datos dictada en fecha 1 de octubre de 2024, resolución imponiendo a
BANCO PICHINCHA ESPAÑA, S.A., con NIF A85882330, por una infracción del
artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 50.000 €
(CINCUENTA MIL EUROS).
SEGUNDO: NOTIFICAR la presente resolución a BANCO PICHINCHA ESPAÑA, S.A.
Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el
plazo de dos meses a contar desde el día siguiente a la notificación de este acto
según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la
Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo
dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del
referido texto legal.
1245-21112023
Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es