Recientemente, la Agencia Española de Protección de Datos (AEPD) ha publicado una resolución de especial interés para todas aquellas empresas que lleven a cabo operaciones de contratación electrónica.
Más allá de la sanción finalmente impuesta a la entidad reclamada (5.000 euros) por una infracción del principio de licitud, la resolución resulta especialmente relevante porque invita a revisar los mecanismos de identificación de clientes utilizados en los procesos de contratación a distancia y su adecuación a las exigencias normativas en materia de protección de datos.
La disputa tiene su origen en una llamada telefónica realizada por una persona una entidad aseguradora con la finalidad de contratar una póliza. Durante el proceso de contratación, dicha persona facilitó el nombre, los apellidos y el DNI de un tercero, si bien aportó su propio número de teléfono, dirección de correo electrónico, domicilio y los datos de un vehículo de su titularidad.
Posteriormente, la aseguradora ejerció acciones de repetición derivadas de un siniestro frente a la conductora del vehículo y al tomador de la póliza. Fue entonces cuando este último manifestó no haber suscrito ninguna póliza con la entidad aseguradora ni tener conocimiento alguno sobre el vehículo asegurado.
A este respecto, no corresponde a la AEPD determinar si existió un eventual delito de suplantación de identidad, sino valorar que las medidas implantadas por la entidad aseguradoraen los procesos para verificar la identidad de quienes inician un proceso de contratación eran suficientes y adecuadas desde la perspectiva de la normativa de protección de datos.
A tenor de lo dispuesto en la resolución de la AEPD, el procedimiento de contratación desplegado por la aseguradora consistía en recibir una solicitud telefónica, recabar los datos necesarios para formalizar la póliza, remitir la documentación contractual a la dirección decorreo electrónico facilitada por el solicitante y enviar un SMS al número de teléfono indicadopara proceder a su firma. Asimismo, la aseguradora reconoció expresamente no haber realizado comprobaciones adicionales sobre los datos facilitados ni sobre la identidad del contratante.
La AEPD considera que la firma de la documentación mediante SMS enviado al teléfono indicado por quien está contratando la póliza, no acredita por sí sola que la persona que firma sea realmente quien dice ser. El problema, por tanto, no reside en la existencia de una eventual suplantación de identidad, sino en que el procedimiento empleado carecía de mecanismos razonables para detectarla o prevenirla.
Adicionalmente, la AEPD aclara que la utilización del DNI no es necesariamente un medio eficaz en el proceso de verificación de la identidad. Concretamente, señala que la mera aportación de una copia del DNI, por sí sola, no resulta un mecanismo eficaz frente a una suplantación de identidad en un proceso de contratación a distancia. No obstante, la resolución no establece qué medidas concretas deben adoptarse para mitigar este riesgo. Se limita a señalar que, dadas las soluciones disponibles en el estado actual de la técnica, la aseguradora disponía de distintas alternativas para reforzar la comprobación de la identidad del contratante y la autenticidad de su firma, citando como ejemplo el uso de sistemas de firma digital; una opción que la propia entidad había valorado y descartado.
La principal enseñanza de esta resolución es que la AEPD vincula de forma directa el principio de licitud del tratamiento con la capacidad de la organización para verificar adecuadamente la identidad de los intervinientes en procesos remotos. El foco del debate deja así de situarse en qué documento debe solicitarse al cliente y pasa a centrarse en si el procedimiento implantado resulta razonablemente apto para prevenir usos indebidos de datos personales.