← España

A-00090-2014

1/9 Procedimiento Nº: A/00090/2014 RESOLUCIÓN: R/01235/2014 En el procedimiento A/00090/2014, instruido por la Agencia Española de Protección de Datos a la entidad INDRA BPO SERVICIOS, S.L.U., vista la denuncia presentada por D. A.A.A. , y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 08/05/2013, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara que después de solicitar una tarjeta de crédito a “BANKINTER”, el 30/04/2013 recibe una carta en la que aparece su nombre y dirección, solicitando que devuelva los documentos adjuntos firmados. Sin embargo, al examinar los documentos adjuntos a la carta constata que corresponden a una persona distinta. Aporta copia de la documentación que manifiesta haber recibido, que incluye un formulario de solicitud de tarjeta cumplimentado con los datos personales de un tercero, co detalle de los datos personales del mismo relativos a nombre y apellidos, dirección postal y electrónica, teléfonos, datos profesionales, domiciliación bancaria para los recibos de la tarjeta y firma. Se incluye copia del DNI de la referida persona. Con fecha 18/09/2013, el denunciante aporta un escrito del Defensor del Cliente de la entidad bancaria en el que se cita “que se trata de un error puntual que no se va a volver a producir”, indicando que no se le puede entregar su documentación hasta que no sea localizada, no habiendo quedado acreditado que se haya hecho entrega de la misma a una tercera persona. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, recibiéndose la siguiente respuesta de la entidad BANKINTER CONSUMER FINANCE EFC, S.A. (en lo sucesivo BANKINTER CF): “Primero … BANKINTER CF tiene suscrito con la entidad INDRA BMB, S.L.U. (en adelante, “INDRA BMB”) contrato de prestación de servicios de fecha 2 de enero de 2012 para la realización de labores de tratamiento de una serie de procesos operativos relacionados con el tratamiento de las solicitudes enviadas por potenciales clientes de BANKINTER CF, para la concesión de tarjetas de crédito al consumo, lo que incluye también (

  1. i)el seguimiento de las solicitudes sin firma, (
  2. ji)el seguimiento de solicitudes Internet y (
  3. iv)otras tareas adicionales de gestión. … En el caso que nos ocupa, el día 23/04/2013 INDRA BMB recibió de terceras personas varias solicitudes de Tarjeta Visa Vodafone de BANKINTER CF, entre las que se encontraban la solicitud remitida por D… (el denunciante) y la correspondiente a D… (el tercero). Ambas solicitudes adolecían de uno o más defectos que impedían su tramitación. En estos supuestos, INDRA en el cumplimiento de sus obligaciones contractuales realiza un proceso de devolución de la solicitud al solicitante de la tarjeta, acompañando a la misma una carta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 explicativa de la/s deficiencia/s detectada/s que impide/n su tramitación para que de ese modo el interesado proceda a reenviar la solicitud debidamente cumplimentada mediante sobre prefranqueado al apartado de correos 621 de BANKINTER CF gestionado por INDRA. INDRA, al realizar el proceso manual de ensobrado de las distintas solicitudes defectuosas que debían devolverse a sus remitentes para su debida cumplimentación, confundió inadvertidamente las solicitudes que debía llevar cada sobre; de tal manera que al solicitante D… (el denunciante) le remitieron por error la solicitud del Sr… (el tercero) y este recibió por el mismo error humano la solicitud de D… (el denunciante). … Segundo… D... (el denunciante) recibió por error la documentación de D… (el tercero) y éste recibió la documentación de aquél. Es decir, su solicitud no se incluyó en su respectivo sobre sino que se introdujo por error en el sobre preparado para la otra persona. Después de revisar todos los procesos y sistemas, se ha podido comprobar que, más allá de las personas designadas nominalmente con anterioridad, no hubo ninguna persona más afectada por la incidencia descrita en el punto primero. Cabe mencionar que durante 2013 el volumen de solicitudes tratadas por INDRA para BANKINTER CF ha sido de 86.995, registrándose únicamente el error descrito anteriormente, lo que arroja un porcentaje de incidencias del 0,001 por 100, dando a entender la absoluta excepcionalidad de la incidencia ocurrida. … Tercero… El día 1/05/2013 se recibió correo electrónico de D… (el denunciante) informando que había recibido la solicitud de otra persona. 3.1 En primer lugar, una vez se tuvo noticia de la incidencia, mi representada internamente y la entidad INDRA llevaron a cabo todo tipo de averiguaciones para conocer con exactitud lo que había sucedido y confirmar si la solicitud del Sr… (el denunciante) se había enviado a una persona equivocada y, en caso afirmativo, identificarla. 3.2 En segundo lugar, el día 10/05/2013 a las 10.31 a.m. se envía correo electrónico al Sr… (el denunciante) con el siguiente contenido: “Sr… (el denunciante): Queremos agradecerle la confianza que ha depositado en nosotros al transmitirnos su descontento, ya que nos permite mejorar la calidad de servicio que damos a nuestros clientes. En relación a su queja, le indicamos que estamos realizando un estudio individual de su incidencia. En próximos días nos pondremos en contacto con usted. Le rogamos disculpe las molestias que este inconveniente le haya podido ocasionar. Quedamos a su entera disposición para cualquier aclaración que precise.” … 3.3 En tercer lugar, ese mismo día 10/05 a las 11:38 a.m. se averigua que la solicitud que había recibido el Sr… (el denunciante) por error pertenece a: D… (el tercero) con DNI… y domicilio en… 3.4 En cuarto lugar, inmediatamente después, el 10/05/2013 a las 12.30 a.m., desde el teléfono ***TEL.1 se llama a D… (el tercero) a su número de teléfono… para corroborar la información averiguada y, en su caso, proceder a regularizar la incidencia En esta conversación telefónica el Sr… (el tercero) afirma que efectivamente tiene en su poder la solicitud de D… (el denunciante). Con la finalidad de recuperar la solicitud erróneamente enviada, se le ofrece al Sr… (el tercero) enviarle un mensajero para recoger la solicitud. A pesar de insistir en recogerle personalmente la solicitud, dijo que dado que trabajaba muchas horas no iba a estar presente en su casa pero que el lunes devolvería la solicitud del Sr… (el denunciante) a través de sobre prefranqueado que le había sido facilitado al efecto. 3.5 En quinto lugar, como quiera que no se había recibido la solicitud que el Sr… (el tercero) indicó que enviaría la semana del 13/05/2013, el 29/05/2013 a las 16.17 h se le vuelve a llamar desde el número ***TEL.2. En esa conversación D… (el tercero) asegura que devolvió la solicitud de D… (el denunciante) a los cuatro o cinco días de recibir la primera llamada de mi C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 representada. 3.6 En sexto lugar, si bien esta entidad no procedió a la grabación de las anteriores conversaciones, sí grabó la conversación mantenida en fecha reciente el 23/01/2014 a las 12.45 con D… (el tercero) desde el número de teléfono ***TEL.1, la cual se haya a disposición de la Agencia por si considera necesaria su audición. Esta conversación telefónica acredita todos y cada uno los extremos indicados anteriormente y en ella el Sr… (el tercero) vuelve a confirmar que ya envió la solicitud que por error recibió de otra persona a través del sobre prefranqueado que se acompañaba, tal y como le había indicado la persona de BANKINTER FC con la que habló en su día. No obstante, la solicitud del Sr… (el denunciante) no se ha recibido por mi representada, lo que nos hace sospechar que el Sr… (el tercero) procedió a su destrucción al ver que por error se trataba de la solicitud correspondiente a otra persona. 3.7 En séptimo lugar, el mismo día que se averigua que la solicitud que recibió D… (el denunciante) era la perteneciente a D… (el tercero) (10/05/2013), mi representada le llamó al número… desde el número ***TEL.2 para ofrecerle nuevamente disculpas, informarle que se trataba de un error puntual y que se estaban realizando las gestiones oportunas para recuperar su solicitud que sabían que estaba en manos de D… (el tercero) que iba a remitirla de vuelta a BANKINTER CF. No se pudo hablar con el Sr… (el denunciante) pero se le dejó mensaje en su contestador automático. 3.8 Por otra parte, el 29/05/2013, el mismo día que se vuelve a hablar con el Sr… (el tercero) para confirmar si había devuelto la solicitud, el Defensor del Cliente de BANKINTER CF recibe reclamación de D… (el denunciante) relativa a la incidencia descrita. El día 7/6/2013 el Defensor del Cliente da respuesta al reclamante. En ella se recoge la confirmación de los Responsables de Obsidiana (i.e. Bankinter CF) de que se trató de un error puntual. 3.9 Finalmente, conviene indicar que los procedimientos de INDRA para la prestación del servicio contratado por BANKINTER CF fueron auditados y certificados por AENOR en las Normas UNEEN ISO 9001, Sistema de Gestión de Calidad y UNE-EN ISO 14001, Sistema de Gestión Medioambiental. Asimismo, INDRA, a requerimiento de BANKINTER CF y con la finalidad de evitar cualquier tipo de incidencia en la ejecución del proceso de envío de las solicitudes de tarjeta Obsidiana, ha implantado una serie de medidas y controles adicionales que se describen en el informe…: (
  4. i)División del proceso de ensobrado y envío de solicitudes en tareas asignadas a recursos diferentes, (
  5. ii)Implementación de controles aleatorios de calidad en el proceso de ensobrado y envío, (iii) Implantación del gestor de incidencias en junio de 2013 donde se registran y analizan las incidencias que puedan acaecer en el proyecto, (
  6. iv)Auditoría de Calidad, (
  7. v)cruce de datos con BANKINTER CF y (
  8. vi)Refuerzo de la formación impartida al personal del servicio. En el citado informe de INDRA se afirma que durante 2013 el volumen de solicitudes tratadas por INDRA para BANKINTER ha sido de 86.995, registrándose únicamente el error descrito anteriormente, lo que arroja un porcentaje de incidencias del 0,001 por 100, dando a entender que se trata de un hecho completamente aislado. …” Aportaron copia del contrato suscrito con INDRA BMB, S.L.U., actualmente INDRA BPO SERVICIOS, S.L.U. (en lo sucesivo INDRA BPO) para la prestación de los servicios, que incluye en el apartado 17 PROTECCION DE LA INFORMACION mención al artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). TERCERO: Con fecha 28 de abril de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a la entidad INDRA BPO a trámite de audiencia previa el presente procedimiento de apercibimiento A/00090/2014, en relación con la denuncia por infracción del artículo 10 de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Con tal motivo, se concedió a la entidad INDRA BPO plazo para formular alegaciones, recibiéndose escrito de la misma en el que señala que, una vez comunicada la incidencia por el denunciante a BANKINTER CF, se puso a disposición de esta entidad para colaborar de buena fe en relación con dicha incidencia y revisó el resto de envíos del 23/04/2013, no teniendo constancia de otras incidencias. Asimismo, detalla las medidas y controles implementados en la ejecución del proceso de envío de Solicitud de Tarjeta Obsidiana: . División del proceso de ensobrado y envío de solicitudes en tareas asignadas a diferentes recursos: un primer recurso imprime las caras, las coteja con las hojas de solicitud y coloca la documentación de envío; un segundo recurso comprueba el cotejo y ensobrado. . Implementación de controles adicionales y aleatorios de calidad en el proceso de ensobrado y envío de solicitudes: se abren y validan los datos del 25% de los envíos diarios. . Gestor de incidencias BPO: herramienta que registra las incidencias y realiza informes periódicos, validados por la Dirección para establecer mecanismos de mejora. . Auditorias de calidad periódicas para determinar las medidas correctivas y/o preventivas necesarias. . Cruce de datos con BANKINTER CF del todos los envíos. . Formación por parte del responsable del personal. . Documento de Seguridad. . Certificaciones ISO 9001. . El Grupo Indra tiene elaborados y publicados en su web un conjunto de manuales que regulan el cumplimiento de la normativa de protección de datos personales. Finalmente, INDRA BPO señala que durante el año 2013 trató 96.995 solicitudes en ejecución del contrato formalizado con BANKINTER CF, habiéndose registrado únicamente la incidencia que ha motivado las presentes actuaciones. HECHOS PROBADOS 1. Con fecha 02/01/2012, las entidades BANKINTER CONSUMER FINANCE EFC, S.A. e INDRA BPO SERVICIOS, S.L.U. suscribieron un contrato de prestación de servicios en virtud del cual la última entidad citada se obliga a la realización de labores de tratamiento de una serie de procesos operativos relacionados con el tratamiento de las solicitudes de tarjetas de crédito al consumo, que incluye el seguimiento de las solicitudes sin firma, el seguimiento de solicitudes Internet y otras tareas adicionales de gestión como la impresión y ensobrado de cartas. 2. El denunciante remitió a BANKINTER CONSUMER FINANCE EFC, S.A. una solicitud de tarjeta de crédito, que fue gestionada por la entidad BANKINTER CONSUMER FINANCE EFC, S.A., conforme a lo acordado en el contrato reseñado en el Hecho Probado Primero. 3. Con fecha 30/04/2013, el denunciante recibió en su domicilio una carta remitida por “BANKINTER”, en la que figura su nombre y dirección, acompañada de unos documentos para que sean firmados y devueltos por el mismo. Esta documentación adjunta, que incluye un formulario de solicitud de tarjeta, aparece cumplimentada con los datos personales de un tercero relativos a nombre y apellidos, dirección postal y electrónica, teléfonos, datos profesionales, domiciliación bancaria para los recibos de la tarjeta y firma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 4. Con fecha 29/05/2013, en relación con la incidencia reseñada en el Hecho Probado Tercero, el Servicio de Atención al cliente de BANKINTER CONSUMER FINANCE EFC, S.A. remitió un escrito al denunciante en el que se indica “que se trata de un error puntual que no se va a volver a producir”. 5. En su respuesta a los Servicios de Inspección de la AEPD, en relación con la incidencia reseñada en el Hecho Probado Tercero, la entidad BANKINTER CONSUMER FINANCE EFC, S.A. manifestó lo siguiente: “el día 23/04/2013 INDRA BMB recibió de terceras personas varias solicitudes de Tarjeta Visa Vodafone de BANKINTER CF, entre las que se encontraban la solicitud remitida por D… (el denunciante) y la correspondiente a D… (el tercero). Ambas solicitudes adolecían de uno o más defectos que impedían su tramitación. En estos supuestos, INDRA en el cumplimiento de sus obligaciones contractuales realiza un proceso de devolución de la solicitud al solicitante de la tarjeta, acompañando a la misma una carta explicativa de la/s deficiencia/s detectada/s que impide/n su tramitación para que de ese modo el interesado proceda a reenviar la solicitud debidamente cumplimentada mediante sobre prefranqueado al apartado de correos 621 de BANKINTER CF gestionado por INDRA. INDRA, al realizar el proceso manual de ensobrado de las distintas solicitudes defectuosas que debían devolverse a sus remitentes para su debida cumplimentación, confundió inadvertidamente las solicitudes que debía llevar cada sobre; de tal manera que al solicitante D… (el denunciante) le remitieron por error la solicitud del Sr… (el tercero) y este recibió por el mismo error humano la solicitud de D… (el denunciante). … Segundo… D... (el denunciante) recibió por error la documentación de D… (el tercero) y éste recibió la documentación de aquél. Es decir, su solicitud no se incluyó en su respectivo sobre sino que se introdujo por error en el sobre preparado para la otra persona. 6. La entidad INDRA BPO SERVICIOS, S.L.U., en su escrito de alegaciones, ha reconocido la incidencia reseñada en el Hecho Probado Tercero FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por INDRA BPO, que resulta del envío al denunciante de documentación (formulario de solicitud de tarjeta de crédito) correspondientes a un tercero, en las que constan los datos personales de éste relativos a nombre y apellidos, dirección postal y electrónica, teléfonos, datos profesionales, domiciliación bancaria para los recibos de la tarjeta y firma; sin que conste el consentimiento previo y expreso del afectado. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
  10. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el caso que nos ocupa, ha quedado acreditado que INDRA BPO remitió al denunciante copia de un formulario de solicitud de tarjeta de crédito en las que figuran datos de carácter personal relativos a un tercero, concretamente, el nombre y apellidos, dirección postal y electrónica, teléfonos, datos profesionales, domiciliación bancaria para los recibos de la tarjeta y firma. Esta información no puede ser facilitada a terceros, salvo consentimiento del afectado o que exista una habilitación legal que permita su comunicación. No consta que la entidad INDRA BPO hubiese obtenido el consentimiento del tercero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 afectado para ello. Al contrario, dicha entidad ha reconocido que esta revelación de datos tuvo lugar y que la misma se produjo ocasionalmente. Obviamente, corresponde a INDRA BPO, en su ámbito específico de responsabilidad, considerando las obligaciones asumidas ante BANKINTER CF por virtud del contrato de prestación de servicios suscritos por ambas entidades, atender el correcto funcionamiento de su sistema de información, de modo que el supuesto error alegado no justifica la revelación de datos constatada ni exime de responsabilidad a INDRA BPO por la infracción que deriva de la misma. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible por los hechos denunciados, atribuible plenamente a INDRA BPO de acuerdo con las circunstancias antes expresadas. Por tanto, queda acreditado que dicha entidad vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que un tercero, el denunciante, tuviese acceso a datos personales correspondientes a otro cliente de la entidad BANKINTER CF que había formulada ante la misma una solicitud de tarjeta de crédito. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
  11. d)de la LOPD. En este precepto se establece lo siguiente: “
  12. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales del tercero afectado fueron divulgados al denunciante por la entidad INDRA BPO, no habiéndose acreditado que aquél hubiese prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
  13. d)de la LOPD. IV De acuerdo con lo expuesto, se iniciaron actuaciones contra por la presunta vulneración C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 del principio del consentimiento y del deber de secreto recogidos en los artículos señalados. Por otra parte, se tuvo en cuenta que la entidad imputada, INDRA BPO, no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 6 y 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  14. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  15. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  16. a)y
  17. b)del citado artículo 45.6 de la LOPD. Sin embargo, en el presente caso, la entidad INDRA BPO ha detallado los controles implementados en la ejecución del servicio que presta a BANKINTER CF, que constan reseñadas en el Antecedente Tercero, entre ellas, la asignación de recursos diferentes para el cotejo de impresión y ensobrado de cartas, implementación de controles adicionales y aleatorios de calidad en el proceso de ensobrado y envío de solicitudes, herramienta para el registro de las incidencias, auditorias de calidad periódicas y formación del personal. En consecuencia, se estiman adoptadas ya las medidas correctoras pertinentes, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00090/2014 seguido contra la entidad INDRA BPO SERVICIOS, S.L.U., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 10 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a INDRA BPO SERVICIOS, S.L.U. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.