1/20 RESOLUCIÓN: R/02101/2014 PROCEDIMIENTO DEL ARTÍCULO 5.5 DE LA LOPD Con fecha 7/03/2014, tuvo entrada una solicitud del FONDO DE REESTRUCTURACIÓN ORDENADA BANCARIA. (en lo sucesivo FROB) en la que insta una “alternativa al derecho de información conforme al 5.5 de la LOPD” en base a los siguientes: ANTECEDENTES PRIMERO: El FROB es una entidad de Derecho Público con personalidad jurídica propia y plena capacidad pública y privada para el desarrollo de sus fines. Su régimen jurídico se contiene en la Ley 9/2012 de 14/11 de reestructuración y resolución de entidades de crédito. El FROB se crea mediante el Real Decreto Ley 9/2009 que además estableció con carácter preventivo las bases para posibles reorganizaciones y reestructuraciones de entidades de crédito (Bancos, Cajas y Cooperativas de Crédito) especialmente las de mediano tamaño que pudieran ver comprometida su viabilidad futura. “Una de las funciones encomendadas al FROB es el establecimiento y control de “esquemas de protección de activos” (EPA), mediante los cuales el FROB deberá asumir bajo una serie de circunstancias y restricciones, las perdidas en las que incurra la entidad beneficiaria de dicho esquema. Esta función se materializa básicamente en un seguimiento de la gestión del riesgo de los créditos garantizados por el FROB, y en la autorización o en su caso denegación de transacciones sobre los activos protegidos.” Para realizar estas gestiones, el FROB “puede” acceder a datos de carácter personal, que se encuentran en la documentación relativa a las operaciones de crédito objeto de estudio. Estos datos son facilitados por la entidad financiera beneficiaria del EPA y consisten principalmente en datos identificativos, nombre y apellidos y NIF, sin que figure dirección o número de teléfono que permitiera remitir la información”. Si bien estima que “la obligación de informar a los afectados en la cesión correspondería efectuarla a la entidad cedente, solicita sean analizadas las anteriores manifestaciones de cara a determinar la procedencia de la aplicación de la excepción al deber de informar a los afectados así como la idoneidad de la alternativa expuesta para cumplir con dicho deber por parte del FROB.” SEGUNDO: Con fecha 13/05/2014, se consulta la aplicación que gestiona la inscripción de ficheros para comprobar que ficheros tiene inscritos la solicitante. Se aprecia que existe el denominado “DATOS OPERACIONES EPA” de titularidad privada y con la finalidad de “Datos financieros relativos a operaciones de esquema de protección de activos, en el ámbito de las competencias de la Entidad” y en categorías de colectivos de la procedencia de los datos “Propietarios o arrendatarios: personas de contacto: representación legal” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 TERCERO: Con fecha 22/05/2014 se mantiene una reunión a instancia del FROB en la que se detalla que el “esquema de protección de activos” es propio del ámbito de reestructuración y garantía que el Estado promueve sobre entidades financieras. Dicho tipo de intervenciones supone avalar paquetes de operaciones del Banco o Entidad, analizando el FROB los créditos y productos para sostener la solvencia y garantizar que puede sobrevivir la citada Entidad. Estas actuaciones se hallan en el meollo de la normativa de actuación del FROB. Para ello, la entidad (bancaría, financiera etc.) proporciona al FROB ficheros con datos identificativos de créditos, en su mayoría se tratan de datos de empresas, junto con sus Administradores, etc., en otros, datos de particulares, que al proceder de paquetes masivos no es fácil concretar el número de afectados. El FROB no remite ni se relaciona físicamente en modo alguno con los titulares de estos datos de carácter personal, sino que analiza si los riesgos son fuertes o débiles en su evolución para ser garante de la entidad. CUARTO: Con fecha 27/05/2014 se recibe por correo electrónico escrito ampliatorio de la descripción de la operativa de un esquema de protección de activos (EPA) Marco de actuación: Marco legal: viene establecido por la normativa del FROB. La gestión del EPA se sitúa al amparo de la Ley 9/2012, de 14/11, de reestructuración y resolución de entidades de crédito (BOE del 15/11). Marco operativo: venta de entidad financiera. En el marco competencial del FROB, uno de los instrumentos de resolución contemplados es la venta del negocio de una entidad de crédito, siempre en el ámbito de dicha resolución y de acuerdo con la normativa citada. Objetivo: Mediante el EPA, una entidad de derecho público (el FROB, en este caso) garantiza posibles pérdidas derivadas de deterioros en la valoración de determinados activos de una entidad que ha sido adquirida por otra. Así, si uno de esos activos sufre una minusvaloración, por ejemplo, por impago de un préstamo hipotecario, la entidad que responsable del EPA cubrirá ese deterioro, hasta un porcentaje previamente acordado, y, todo ello, durante un período de vigencia determinado. En el caso del FROB esta garantía siempre se encuadra en el marco de un proceso de reestructuración/resolución de una entidad de crédito. Cesión de información de personas físicas: “Para gestionar la valoración de los activos cubierto por EPA es necesario contar con los datos identificativos de dichos activos, así como los correspondientes datos financieros. En el caso de activos relativos a personas físicas (por ejemplo, préstamo hipotecario) serán los del cliente que ha contratado el producto en cuestión, en el caso de personas jurídicas, serán los de los representantes de dicha persona jurídica. Los datos de las personas físicas los ha recabado en su día la entidad financiera a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 cuya venta se da cobertura mediante el EPA. Esta entidad los cede a la responsable del EPA (el FROB, en este caso), para que ésta pueda gestionarlo, en el marco del acuerdo de compra-venta de la entidad financiera objeto del EPA. A su vez, el FROB cede los datos al Fondo de Garantía de Depósitos (FGD), responsable, por encargo del FROB, de la realización de las tareas de gestión del EPA y de su control y seguimiento. Así, realmente, los datos personales son almacenados y gestionados por el FGD, por encargo del FROB (El art. 57 de la Ley 9/2012 contempla la posibilidad de formalizar convenios de colaboración con otras autoridades competentes, entre las que se incluye el FGD: Cabe subrayar que el hecho de que el activo esté o no incluido en el EPA no es relevante para el cliente, persona física o jurídica, e, incluso, no lo es para los propios empleados de la entidad financiera que gestionan los activos en cuestión. Sólo es relevante para la entidad financiera compradora, que recibiría, en su caso, la compensación prevista. Esos datos no se ceden en ningún caso fuera del marco de gestión del EPA y sólo se mantienen a efectos de dicha gestión.” QUINTO: Con fecha 31/07/2014 se solicita al FROB que en el plazo de diez días, con el fin de conocer la excepción que solicitan informen: 1) Listado de entidades que en el proceso de reestructuración y como no viables fueron vendidas, y contaron con esquema de protección de activos, concretando la fecha del contrato de compraventa de la entidad, y entidades que firman dicho contrato de compraventa. Detallar si la gestión de la entidad en venta hasta ser asumida por la compradora experimenta algún tipo de variación. 2) Detallar si se produce algún tipo de publicación oficial de los procesos (Banco de España autorizando la venta de la entidad, FROB: contrato de compraventa que contenga la publicación de la información de la gestión a efectos de protección de datos etc.). 3) El término “Esquema de protección de activos” no se contiene en la Ley 9/2012. Al respecto informar si se contiene su definición y operativa en alguna norma, o si se considera un tipo de garantía dentro por tanto del concepto de garantía. Explicación de que se hace con los datos de los créditos que se gestionan en el EPA. ¿Cómo se recibe la información, quien se la manda, en que momento del procedimiento de la resolución de la entidad, que se contiene, que se analiza y cuando/periodicidad sobre esos datos, a favor de quien opera la garantía? 4) Informen en que momento del procedimiento se produce la cesión de cartera que contiene los datos de carácter personal sobre los que se produce el seguimiento. En que consiste la evaluación o seguimiento de cada crédito referido a personas físicas. (si es una vez aprobado por el Banco de España el plan de actuación, o se contiene en las condiciones de la compraventa con la entidad a la que se vendería dicha cartera). Forma que adopta el clausulado que prevé la garantía del EPA en el contrato de compraventa y si se hace alguna referencia a los datos personales de los titulares de los créditos y su garantía a la nueva beneficiaria (comprador)- adjuntando dos ejemplos.-(Se podría considerar que si se perfecciona la compraventa por la entidad adquirente). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 5) Exponer si en los procesos futuros de compraventa de entidades con EPA no sería posible instrumentar en los contratos de compraventa o en los Acuerdos del BANCO DE ESPAÑA la necesaria publicación o difusión (diario oficial, prensa) de que los datos de carácter personal de los clientes que dispongan de activos en la entidad en venta van a pasar a ser gestionados por el FROB en cuanto a garantía de solvencia o esquema de protección de activos. 6) Para la exención del deber de informar en los procesos de entidades ya vendidas sobre las que ha operado el esquema de protección de activos que incluyen las entidades referidas en el punto 3, se precisa que aporten para cumplimentar el deber de informar la redacción de un clausulado informativo a efectos de su publicación en medios de prensa que permita compensar la exención del deber de informar, así como cualquier otra medida compensatoria que estimen oportuna. La petición se entregó el 6/08/2014, caducando el plazo de diez días el 19 del mismo mes, sin que fuera entregada la documentación requerida. SEXTO: Por guardar identidad con la petición del FROB, se incorpora a este expediente el Informe del Gabinete Jurídico de 18/02/2013, referencia de entrada 443139/2012 relativo a una consulta sobre los “esquemas de protección de activos” (“EPA”) efectuada por el Fondo de Garantía de Depósitos (FGD). Al efecto se ha de tener en cuenta según la presente solicitud que el “FROB cede los datos al FONDO DE GARANTÍA DE DEPOSITOS, (FGD) responsable por encargo del FROB, de la realización de las tareas de gestión del EPA, y de su control y seguimiento”. En tal sentido, se transcribe el informe por guardar una correlación entre lo solicitado y lo informado por el Gabinete Jurídico, siendo esclarecedor el apartado VII referido a quien correspondería el deber de informar en este supuesto de garantía del FROB sobre los créditos que adquiere un tercero en casos de resolución de una entidad. Se considera que en dicha consulta hubiera faltado la referencia a que el proceso es efectuado en definitiva por el FROB, en el que se integra el FGD. <<Examinada su solicitud de informe, remitida a este Gabinete Jurídico, referente a la consulta planteada por el Fondo de Garantía de Depósitos, cúmpleme informarle lo siguiente: I La consulta plantea diversas cuestiones relacionadas con la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, a los denominados “esquemas de protección de activos” (“EPA”) que la misma describe, derivados de la firma de la consultante con determinadas entidades financieras de determinados contratos en cuya virtud la consultante “asume durante cierto tiempo y hasta un cierto volumen máximo de pérdidas en los que incurra en su caso la entidad financiera beneficiaria (...) a resultas de la gestión de una parte (muy relevante) de su cartera”. De este modo, según se indica, los citados esquemas implicarían que el Fondo de Garantía de depósitos procediese a la gestión de la cartera de las entidades en dificultades, asumiendo igualmente las pérdidas que pudieran derivarse de la existencia de un elevado nivel de riesgo en dicha cartera. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 La consulta igualmente indica que en el desarrollo de los citados esquemas la consultante procedería al control continuado del riesgo generado por la cartera de créditos que asumiría, bien en relación con su totalidad bien en relación con determinadas operaciones respecto de las que asumiría el riesgo, dado que el marco normativo, alcance y finalidad de los citados esquemas ha evolucionado a lo largo del tiempo, pudiéndose distinguir a tal efecto, particularmente tras las diversas reformas operadas en los últimos años, tres escenarios distintos. Asimismo, se señala que en dos de los escenarios descritos el papel de control asumido por el Fondo de Garantía de Depósitos se llevaría a cabo con la ayuda de un “Comité de Autorizaciones”, “formado por un pequeño número de personas físicas que no son empleados del FGD” y que “serían seleccionadas en virtud de un perfil profesional idóneo para las funciones que se esperan de ellos (...) por lo que serán empleados -o lo fueron en su días- de entidades financieras”, realizando sus actividades en las propias instalaciones del Fondo. Si bien la consulta indica que el volumen de información referido a personas físicas será relativamente reducido en relación con el volumen de créditos objeto de análisis, no cabe duda de que las actividades mencionadas implicarán el acceso a datos de carácter personal, bien porque comprenderán la totalidad de las actividades de activo de una entidad, dentro de los esquemas adoptados en la primera fase de las mencionadas en la consulta, bien a determinados datos de carácter personal de personas físicas titulares de los riesgos de crédito o que actúan por cuenta de la persona jurídica titular. Estos datos comprenderían, según se señala, el nombre y apellidos de los afectados, información sobre sus características pertinentes para la evaluación del riesgo, la evolución del crédito o servicio financiero y, eventualmente, su Número de Identificación Fiscal. II Antes de entrar a analizar las cuestiones planteadas debe hacerse una breve referencia al marco legal en cuyo entorno se adoptan los mencionados Esquemas de Protección de Activos, a fin de por una parte clarificar los términos de la consulta y, por otra, valorar la cobertura legal existente en dichos esquemas. Como señala la consulta, el marco normativo aplicable a estos modelos ha ido evolucionando conforme se han adoptado distintas medidas de apoyo y reestructuración del sistema financiero y, particularmente en los dos últimos años, por lo que deberá hacerse referencia a cada uno de los estadios por los que ha atravesado la normativa aplicable al supuesto que venimos a analizar en el presente informe. El artículo 1.1 del Real Decreto-ley 18/1982, de 24 de septiembre, por el que se establece el Régimen de los Fondos de Garantía de Depósitos de Bancos privados, Cajas de Ahorro y Cooperativas de Crédito, dispone que “El Fondo de Garantía de Depósitos en Cajas de Ahorro, creado por Real Decreto 2870/1980, de 4 de diciembre , tendrá personalidad jurídica pública, con plena capacidad para el desarrollo de sus fines en régimen de derecho privado y sin sujeción a las normas reguladoras de las Entidades estatales autónomas y de las Sociedades estatales”, añadiendo en su artículo 1.2 que “Tendrá por objeto garantizar los depósitos en las Cajas de Ahorro en la forma y cuantía que el Gobierno establezca, así como realizar cuantas actuaciones estime necesarias para reforzar la solvencia y mejorar el funcionamiento de las Cajas en defensa de los intereses del propio Fondo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 En relación con estas funciones, el artículo 7 dispone que “El Gobierno dictará las medidas precisas para el desarrollo y aplicación del presente Real Decreto-ley, que entrará en vigor el día siguiente de su publicación en el «Boletín Oficial del Estado» y del mismo dará cuenta inmediatamente a las Cortes”. En relación con las facultades atribuidas al Fondo de Garantía de Depósitos por el artículo 1.2 del Real Decreto-ley 18/1982, el artículo 10.1 del Real Decreto 2606/1996, de 20 de diciembre, dispone que “Excepcionalmente, cuando la situación de una entidad de crédito, según la información facilitada por el Banco de España, sea tal que haga previsible que el fondo quede obligado al pago, conforme a las causas previstas en el artículo 8 del presente Real Decreto, el fondo podrá adoptar medidas preventivas y de saneamiento tendentes a facilitar la viabilidad de la entidad para superar la situación de crisis, en el marco de un plan de actuación acordado por la entidad y aprobado por el Banco de España”, añadiendo el artículo 10.3 que “Al adoptar estas medidas, el fondo tendrá en cuenta el coste financiero de las mismas a su cargo que se comparará con los desembolsos que hubiese tenido que realizar de optar, en el momento de la adopción del plan, por realizar en lugar de éste el pago de los importes garantizados previstos en el artículo 7”. A su vez, conforme al artículo 11.1 del Real Decreto 2606/1996 “El plan de actuación de la entidad en crisis, siempre que contenga ayudas de un fondo de garantía de depósitos, podrá comprender las siguientes actuaciones:
- a)Ayudas financieras, que podrán consistir en ayudas a fondo perdido, concesión de garantías, préstamos en condiciones favorables, financiaciones subordinadas, adquisición por el fondo de activos dañados o no rentables que figuren en el balance de la entidad y cualesquiera otros apoyos financieros.
- b)Reestructuración del capital de la entidad, que podrá conllevar, entre otras medidas, la adecuada aplicación de los recursos propios de la entidad para absorber sus pérdidas, atendiendo a la singularidad de cada caso; facilitar procesos de fusión o absorción con otras entidades de reconocida solvencia o el traspaso de su negocio a otra entidad de crédito; suscripción por el fondo en establecimientos bancarios de ampliaciones de capital, conforme a lo dispuesto en los apartados siguientes, y la adopción por los órganos correspondientes de la entidad afectada de todos aquellos acuerdos que aseguren la adecuada aplicación de las ayudas prestadas por el fondo de garantía de depósitos respectivo.
- c)Medidas de gestión que mejoren la organización y los sistemas de procedimiento y control interno de la entidad”. En consecuencia, el régimen vigente al amparo del Real Decreto-ley 18/1982, en virtud de la habilitación conferida por su artículo 1.2 y en el desarrollo autorizado al Gobierno por su artículo 7 a través del Real Decreto 2606/1996, habilita la adopción por el Fondo de actuaciones de control de los activos de la entidad que pueden dar lugar a la adquisición total o parcial de los activos dañados o no rentables siempre que resulta aplicable el juicio de valoración previsto en el artículo 10.3 del citado Real Decreto. Este régimen legal, aplicable según señala la consulta al primer Esquema de Protección de Activos que fue adoptado por el fondo, fue objeto de modificación como consecuencia de la aprobación del Real Decreto-ley 16/2011, de 14 de octubre. El asegundo inciso de su artículo 2.1 en su redacción originaria (posteriormente derogada por el Real Decreto-ley 24/2012 y la Ley 9/2012, a los que se hará referencia con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 posterioridad) señala que “el Fondo tendrá por objeto la realización de actuaciones que refuercen la solvencia y funcionamiento de una entidad en dificultades, en defensa de los intereses de los depositantes, del propio Fondo y del conjunto del sistema integrado por las entidades de crédito adheridas al mismo”. El Título III del Real Decreto-ley establecía cuáles podrían ser las citadas actuaciones, estableciendo en su artículo 11 un régimen similar al establecido en el artículo 10 del Real Decreto 2606/1996. Así, el artículo 11.1 disponía que “Sin perjuicio de lo previsto en el artículo siguiente, cuando la situación de una entidad de crédito, según la información facilitada por el Banco de España, sea tal que haga previsible que el Fondo quede obligado al pago, conforme a las causas previstas reglamentariamente, el Fondo podrá adoptar medidas preventivas y de saneamiento tendentes a facilitar la viabilidad de la entidad para superar la situación de crisis, en el marco de un plan de actuación acordado por la entidad y aprobado por el Banco de España”, añadiendo el artículo 11.3 que “Al adoptar estas medidas, el Fondo tendrá en cuenta el coste financiero de las mismas a su cargo que se comparará con los desembolsos que hubiese tenido que realizar de optar, en el momento de la adopción del plan, por realizar en lugar de éste el pago de los importes garantizados”. Las medidas que pueden ser adoptadas por el fondo aparecían recogidas en el artículo 13 del Real Decreto-ley, también asimilable a lo dispuesto en el artículo 11 del Real decreto 2606/1996. Así, el citado artículo 13 disponía que: “1. El plan de actuación para una entidad en crisis al que se hace referencia en el artículo 11 anterior que contemple ayudas del Fondo de Garantía de Depósitos de Entidades de Crédito, podrá comprender las siguientes actuaciones:
- a)Ayudas financieras, que podrán consistir en ayudas a fondo perdido, concesión de garantías, préstamos en condiciones favorables, financiaciones subordinadas, adquisición por el fondo de activos dañados o no rentables que figuren en el balance de la entidad y cualesquiera otros apoyos financieros.
- b)Reestructuración del capital de la entidad, que podrá conllevar, entre otras medidas, la adecuada aplicación de los recursos propios de la entidad para absorber sus pérdidas, atendiendo a la singularidad de cada caso; facilitar procesos de fusión o absorción con otras entidades de reconocida solvencia o el traspaso de su negocio a otra entidad de crédito; suscripción por el Fondo de ampliaciones de capital, conforme a lo dispuesto en los apartados siguientes, y la adopción por los órganos correspondientes de la entidad afectada de todos aquellos acuerdos que aseguren la adecuada aplicación de las ayudas prestadas por el Fondo.
- c)Medidas de gestión que mejoren la organización y los sistemas de procedimiento y control interno de la entidad. 2. Las medidas previstas en este artículo deberán ir encaminadas a procurar la viabilidad de la entidad en un plazo razonable, a juicio del Fondo, bien reforzando el patrimonio y solvencia de la misma, bien facilitando su fusión o absorción por otra de reconocida solvencia o el traspaso de su negocio a otra entidad de crédito.” El artículo 12 del Real Decreto-ley preveía asimismo la posible adopción de estas medidas en el marco de procesos de reestructuración. Así, el artículo 12.1 disponía que “En caso de que se proceda a la reestructuración ordenada de una entidad de crédito realizada dentro del correspondiente plan aprobado por el Banco de España C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 en los supuestos previstos en el artículo 7.1 del Real Decreto-ley 9/2009, de 26 de junio, sobre reestructuración bancaria y reforzamiento de los recursos propios de las entidades de crédito, la Comisión Gestora del Fondo de Garantía de Depósitos en Entidades de Crédito podrá ejecutar cualquiera de las actuaciones previstas en el artículo 13.1 en favor de las entidades financieras participantes en la reestructuración hasta el límite de las pérdidas ocasionadas por tal operación”, añadiendo que “Del mismo modo, en caso de que se adopten medidas de apoyo financiero para el reforzamiento de los recursos propios de una entidad de crédito en virtud del artículo 9 del Real Decreto-ley 9/2009, de 26 de junio, la Comisión Gestora del Fondo de Garantía de Depósitos en Entidades de Crédito podrá ejecutar cualquiera de las actuaciones previstas en el artículo 13.1 en favor de las entidades financieras participantes en la operación hasta el límite de las pérdidas ocasionadas por tal operación”. Es decir, durante la vigencia del Real Decreto-ley 11/2011, de 14 de octubre, en su redacción originaria, se establecía una régimen asimilable al vigente desde la entrada en vigor del Real Decreto-ley 18/1982 y sus normas de desarrollo, si bien también aplicable a los procesos de reestructuración a los que se refería su artículo 12.1. En este marco fueron adoptados, según se indica en la consulta, los dos restantes Esquemas de Protección de Activos que se han acordado hasta la fecha. El contenido del Real Decreto-ley 16/2011 fue objeto de reforma por la Disposición Final octava del Real decreto-ley 24/2012, de 31 de agosto, reiterada por la Disposición final octava de la Ley 9/2012, de 14 de noviembre, de reestructuración y resolución de entidades de crédito. Así, se suprime el segundo inciso del artículo 2.1 del Real decreto-ley 16/2011, relativo a las actuaciones complementarias citadas con anterioridad, derogándose asimismo el Título III del citado Real Decreto-ley y desapareciendo la función de de refuerzo de la solvencia y funcionamiento de las entidades de crédito que se recogía en el artículo 4. La disposición final octava introduce a su vez, bajo la rúbrica “Medidas de apoyo a la resolución de una entidad de crédito”, un nuevo artículo, en cuyo apartado 1 se prevé que “Para el cumplimiento de la función prevista en el artículo 4 y en defensa de los depositantes cuyos fondos están garantizados y del propio Fondo de Garantía de Depósitos de Entidades de Crédito, el Fondo podrá adoptar medidas de apoyo a la resolución de una entidad de crédito”, añadiendo que “A estos efectos, cuando una entidad de crédito se encuentre en un proceso de resolución conforme a lo dispuesto en la Ley 9/2012, de 14 de noviembre, de reestructuración y resolución de entidades de crédito, el Fondo, dentro del marco del plan de resolución aprobado, podrá ejecutar cualquier medida de apoyo financiero de las previstas en el apartado siguiente que facilite la resolución de la entidad”, no pudiendo el Fondo “asumir un coste financiero superior a los desembolsos que hubiese tenido que realizar de optar, en el momento de apertura del proceso de resolución, por realizar el pago de los importes garantizados en caso de liquidación de la entidad”. En cuanto a las medidas de apoyo, según el artículo 11.2 del Real Decreto-Ley 16/2011 en su nueva redacción podrán concretarse en una o varias de las siguientes: “
- a)El otorgamiento de garantías.
- b)La concesión de préstamos o créditos.
- c)La adquisición de activos o pasivos, pudiendo mantener su gestión o encomendarla a un tercero”. De este modo, el régimen actualmente vigente también prevé la posible realización de estas operaciones, si bien con la única finalidad de garantía de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 depósitos y dentro de los procesos establecidos en el Ley 9/2012, sin que dichas operaciones puedan tener ya por exclusiva finalidad el refuerzo de la solvencia y funcionamiento de las entidades”. Según se indica en la consulta no se ha adoptado ningún esquema de protección de activos dentro de este nuevo marco normativo, actualmente vigente. III Una vez descrito el marco normativo aplicable en sus sucesivas etapas procede ya tratar de dar respuesta a las consultas planteadas, referidas a la legitimación para el tratamiento, el cumplimiento del deber de información, la condición de responsable o encargado del tratamiento del Fondo de Garantía de Depósitos, la existencia y obligación de declaración de un nuevo fichero y el papel, en los supuestos en los que concurra, de los miembros del “Comité de Autorizaciones” en relación con el tratamiento de los datos personales derivado de la existencia de estos esquemas. Para dar adecuada respuesta a las cuestiones planteadas será preciso, no obstante, alterar el orden en que las mismas se han formulado, analizando en primer lugar el papel, de responsable o encargado del tratamiento, del Fondo de Garantía de Depósitos en el presente supuesto. Dicha alteración resulta lógica a los efectos de dar respuesta a las cuestiones, toda vez que si en caso de que el Fondo ostente la condición de encargado del tratamiento y no existiese una cesión de datos de carácter personal de las entidades financieras al Fondo no sería preciso analizar si concurren o no las causas legitimadoras del tratamiento en que la cesión consiste, a las que se refiere la consulta, ni cómo dar cumplimiento al deber de información al interesado, dado que el artículo 12.1 de la Ley Orgánica 15/1999 dispone que “No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento”. El artículo 3
- d)de la Ley Orgánica 15/1999 define al responsable del fichero o tratamiento como “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Por su parte, es encargado del tratamiento, conforme al artículo 3
- g)“La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. La diferenciación entre uno y otro sujeto deberá fundamentarse esencialmente en la finalidad que justifica el tratamiento llevado a cabo, toda vez que el responsable procederá al tratamiento de los datos para el cumplimiento de finalidades determinadas, explícitas y legítimas que les son propias, mientras que el encargado, al tratar los datos por cuenta del responsable no hará sino atender a las finalidades que son propias de éste y no de él mismo. Pues bien, como se ha señalado en el apartado anterior de este informe el tratamiento de datos llevado a cabo por el Fondo de Garantía de Depósitos, consistente en el control continuado o individualizado de todas o parte de las operaciones de activo de las entidades sometidas a un procedimiento de reestructuración o resolución se efectúa en el marco de las competencias que al mismo atribuyen expresamente, y de forma sucesiva, los artículos 1.2 del Real Decreto-ley 18/1982 y 2 y 4 del Real Decretoley 16/2011, éste último en sus sucesivas redacciones; es decir, el tratamiento tiene por finalidades la garantía de los depósitos de las entidades o, en su caso y hasta la entrada en vigor del Real Decreto-ley 24/2012 y de la Ley 9/2012, el refuerzo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 solvencia y funcionamiento de las entidades. En consecuencia, el tratamiento es llevado a cabo para el cumplimiento de las finalidades que son propias del Fondo de Garantía de Depósitos y que difieren de las propias de las entidades financieras, sin perjuicio de que aquéllas redunden en beneficio de éstas últimas. Por tanto, cabe concluir que en el supuesto presente nos encontramos ante un supuesto de cesión de datos, siendo el Fondo de Garantía de depósitos responsable del tratamiento y cesionario de los datos y no un mero encargado del tratamiento de las entidades aun cuando la relación entre las entidades y el fondo se instrumentalice mediante la firma de un determinado convenio, que exigirá además la autorización del Banco de España. IV Avanzando en la determinación del papel de cada uno de los intervinientes en el esquema, la consulta plantea también cuál será la condición de los miembros del “Comité de Autorizaciones”, que podrá ser objeto de creación en los esquemas que se adopten al amparo del Real Decreto-ley 16/2011 en sus sucesivas redacciones, teniendo en cuenta que el mismo se encontrará “formado por un pequeño número de personas físicas que no son empleados del FGD” y que “serían seleccionadas en virtud de un perfil profesional idóneo para las funciones que se esperan de ellos (...) por lo que serán empleados -o lo fueron en su días- de entidades financieras”, realizando sus actividades en las propias instalaciones del Fondo. Del tenor de la consulta cabe fácilmente concluir que a diferencia de lo que sucede en el supuesto anteriormente analizado los miembros del Comité procederán al tratamiento de los datos, en su caso, dentro de las finalidades propias del Fondo, dado que las mismas se encontrarán en todo caso separadas de su eventual servicio a otra entidad financiera. De este modo, estas personas asistirán al propio fondo a la hora de desarrollar sus funciones de control de los procesos de restructuración y de las medidas que en su caso sean adoptadas para garantizar los depósitos de las entidades o para mejorar la solvencia y funcionamiento de las mismas en los supuestos en los que tal finalidad se encontraba autorizada por la legislación aplicable en el momento de constitución del esquema de protección de activos. En consecuencia, los miembros del “Comité” tendrán, en relación con el Fondo de Garantía de Depósitos, la condición de encargados del tratamiento, lo que exigirá su sometimiento al régimen establecido en el artículo 12 de la Ley Orgánica 15/1999 y en la Sección 3ª del Título II de su Reglamento de desarrollo, quedando el mismo caracterizado por los siguientes extremos:
- a)En primer lugar, será preciso que la actuación del encargado del tratamiento se limite a la prestación de los servicios objeto de la contratación. A tal efecto dispone el artículo 20.1 del Reglamento de desarrollo de la Ley Orgánica 15/1999 que “se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado”.
- b)En lo que atañe a los requisitos formales, el artículo 12.2 de la Ley Orgánica impone que “la realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas”.
- c)Por lo que respecta al periodo de conservación de los datos, el artículo 12.3 establece que “una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”. Añade el artículo 20.3 del Reglamento que “no obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo”. El artículo 22.1 reitera esta previsión, al indicar que “una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”.
- d)Por otra parte, a fin de preservar los derechos del encargado frente a posibles responsabilidades derivadas de su actuación, dispone el artículo 22.1 del Reglamento que “el encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento”.
- e)En lo referente a la posible subcontratación de los servicios prestados, el artículo 21 del Reglamento permite esta posibilidad en caso de que el responsable del fichero apodere al encargado para la celebración del segundo contrato en nombre de aquél o cuando se den los requisitos especificados en el apartado 2 del citado precepto: - “Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar”. SI dicha circunstancia no se hubiera previsto en el contrato, deberá procederse a su modificación posterior, conforme al artículo 22.3. Igualmente, en caso de que en el contrato no conste la identificación de la empresa subcontratista “será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación”. - “Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero”. - Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato previsto en el artículo 12 de la Ley Orgánica.
- f)En cuanto a las medidas de seguridad que hayan de ser adoptadas por quienes realicen trabajos de tratamiento de datos por cuenta de tercero, habrán de ser, en principio, las mismas que las impuestas al responsable del fichero, tal y como se desprende de lo previsto en los artículos 9 y 12.2 de la Ley Orgánica, detallando el artículo 82 del Reglamento el modo en que deberán implantarse las medidas.
- g)En cuanto al ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación y oposición, el artículo 26 del Reglamento dispone que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 “cuando los afectados ejercitasen sus derechos ante un encargado del tratamiento y solicitasen el ejercicio de su derecho ante el mismo, el encargado deberá dar traslado de la solicitud al responsable, a fin de que por el mismo se resuelva, a menos que en la relación existente con el responsable del tratamiento se prevea precisamente que el encargado atenderá, por cuenta del responsable, las solicitudes de ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación u oposición”.
- h)Por último, según el artículo 12.4, “en el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”, siendo, en consecuencia, de aplicación el régimen sancionador establecido en los artículos 43 y siguientes de la Ley, sujetando el primero de ellos al encargado del tratamiento a dicho régimen”. De lo señalado en los dos últimos apartados del presente informe cabe por tanto concluir que el Fondo de Garantía de Depósitos tendrá la condición de responsable del tratamiento de los datos que se derive del establecimiento de los esquemas de protección de activos y que, en los supuestos en los que exista un “Comité de autorizaciones”, sus miembros tendrán la condición de encargados del tratamiento del propio Fondo, dándose así respuesta a las cuestiones formuladas por la consultante en los apartados III y V de su consulta. V Una vez concluido que el Fondo de Garantía de Depósitos tiene la condición de responsable del tratamiento, la transmisión de los datos desde las entidades al propio fondo con la finalidad de que por el mismo se proceda al tratamiento de los datos en el marco de las actuaciones permitidas por la legislación en cada momento aplicable y que se configura en el esquema de protección de activos constituye una cesión de datos de carácter personal, defina por el artículo 3
- i)de la Ley Orgánica 15/1999 como “Toda revelación de datos realizada a una persona distinta del interesado”. Respecto de las cesiones, el artículo 11.1 de la Ley Orgánica 15/1999 dispone que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. No obstante, como recuerda la consultante, será posible la cesión de datos sin contar con el consentimiento del interesado en caso de que exista una norma con rango de Ley habilitante de la cesión (artículo 11.2 a). Del mismo modo, será posible el tratamiento y cesión de los datos si “es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”, tal y como dispone el artículo 7
- f)de la Directiva 95/46/CE, cuyo efecto directo ha sido consagrado expresamente por la Sentencia del tribunal de Justicia de la Unión Europea de 24 de noviembre de 2012. La consultante invoca como causas legitimadoras de la cesión de los datos con destino a la misma tanto la habilitación legal como la concurrencia de un interés legítimo prevalente y habilitante de la cesión. Será preciso que en el presente informe se analice en primer lugar la concurrencia de la primera de las causas legitimadoras, toda vez que existiendo habilitación legal para la cesión de los datos resultará ya innecesario valorar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 si concurre un interés legítimo habilitante. El alcance de la legitimación legal para el tratamiento de los datos de carácter personal viene configurado el artículo 10.2
- a)del Reglamento de desarrollo de la Ley Orgánica 15/1999, cuya vigencia y conformidad a derecho ha sido manifestada por el Tribunal Supremo en su sentencia de 8 de febrero de 2012. Según dicho precepto para que pueda entenderse que existe una norma con rango de Ley legitimadora del tratamiento de los datos de carácter personal no es preciso que la norma se refiera expresamente a ese tratamiento como legitimado, sino que también concurrirá en particular la legitimación cuando: - El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre. - El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas De este modo se haría preciso comprobar si en las distintas etapas a las que se refiere la consulta y que se han analizado en el apartado II de este informe existe una norma con rango de Ley que otorgaría cobertura a la cesión de datos al Fondo de Garantía de Depósitos y al tratamiento de los datos de carácter personal llevado posteriormente a cabo por el mismo. Como se indicó en el citado apartado II las distintas normas aplicables en cada una de las etapas citadas establecen una serie de funciones de la consultante, entre las que no sólo se encontraba, en las dos primeras fases, la garantía de los depósitos, sino también la del control de la solvencia y adecuado funcionamiento de las entidades. Igualmente en todas las fases se prevé que en cumplimiento de dichas finalidades el Fondo de Garantía de Depósitos podía adoptar determinadas medidas encaminadas a lograr la adecuada estabilidad de esas entidades, incluyendo la posible asunción de activos de alto riesgo o la adopción de medidas de gestión y organización. En la segunda de las fases mencionadas; es decir, durante la vigencia del Real Decreto Ley 16/2011 en su redacción originaria, la propia norma con rango de Ley establecía las dos funciones mencionadas y la posible adopción de tales medidas, de forma que cabe considerar que existe una norma con rango de Ley que, en sus propios términos otorga cobertura a la cesión y ulterior tratamiento de los datos por parte del fondo de Garantía de Depósitos. En el mismo sentido, en la tercera fase, posterior a la aprobación del Real decreto Ley 24/2012 y la Ley 9/2012, el propio Real Decreto-ley 16/2011 en su nueva redacción el que otorga cobertura al tratamiento y cesión de datos derivado del establecimiento de un esquema de protección de activos, si bien estableciendo una limitación a la finalidad que podrá justificar la asunción de los activos y fijando de forma más restringida el alcance de las medidas que podrán ser adoptadas. De este modo igualmente cabría apreciar la concurrencia de una habilitación del tratamiento y cesión previa de los datos por una norma con rango de Ley. En la primera de las etapas, sin embargo, el Real Decreto-ley 18/1982 se limita a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 indicar cuáles serán las facultades del fondo, entre las que se encuentran la adopción de medidas preventivas de aseguramiento de la solvencia y funcionamiento de las entidades a través de su adecuado saneamiento, siendo el Real Decreto 2606/1996 el que especifica el alcance que pueden revestir tales medidas. No obstante, como se dijo, el hecho de que la Ley no establezca expresamente que entre tales medidas puedan incluirse la asunción de activos o el control de la gestión y organización de las entidades no supone que no exista una norma con rango de Ley que otorgue adecuada cobertura a la cesión y posterior tratamiento de los datos de carácter personal si la Ley establece un marco suficiente del que pueda desprenderse los citados tratamiento y cesión de datos. En este sentido, cabe considerar que las medidas señaladas en la norma con rango de Ley, incluso antes de producirse el desarrollo reglamentario del Real decreto-ley 18/1982 y su consiguiente concreción, resultarían suficiente para poder justificar la cesión de datos y el consiguiente tratamiento, amparados en los artículos 11.2
- a)y 6.1 de la Ley Orgánica 15/1999 en conexión con el artículo 1.2 del Real Decreto-ley últimamente citado. De ello se desprende que en todos los supuestos planteados la cesión y posterior tratamiento de los datos derivado del establecimiento de los sistemas de protección de activos se encontraría amparado por lo dispuesto en los artículos 11.2
- a)y 6.1 de la Ley Orgánica 15/1999, respectivamente, en conexión con las normas con rango de Ley aplicables en cada uno de los momentos a los que se refiere la consulta. VI En todo caso, el hecho de que exista una norma con rango de Ley habilitante de las cesiones y tratamientos no implica que la habilitación se convierta en absoluta. En este sentido, la citada Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, recuerda que “el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los Poderes Públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución”. Y del mismo modo la reciente sentencia 17/2013, de 31 de enero recuerda que “a tenor del artículo 53.1 CE los límites al derecho a consentir la cesión de los datos a fines distintos para los que fueron recabados están sometidos a reserva de Ley. Reserva legal que, como es obvio, ha de cumplir con los restantes requisitos derivados de nuestra doctrina –esencialmente basarse en bienes de dimensión constitucional y respetar las exigencias del principio de proporcionalidad-“. En el supuesto objeto de análisis estas condiciones esenciales cuyo respeto resulta imprescindible para que pueda proceder el tratamiento de los datos se desprenden de lo dispuesto en el artículo 4 de la Ley Orgánica 15/1999 y se plasman en los principios de finalidad, proporcionalidad y conservación de los datos sometidos a tratamiento. De este modo, conforme al artículo 4.1 de la Ley Orgánica 15/1999 “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. A su vez, de acuerdo con su artículo 4.2 “Los datos de carácter personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 objeto de tratamiento no podrán usarse para finalidades incompatibles con aquéllas para las que los datos hubieran sido recogidos”. Finalmente, de conformidad con el artículo 4.5 “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados”. En particular ello supone que las cesiones deberán limitarse a los datos necesarios para la adopción de las medidas que se hayan acordado en los correspondientes esquemas de protección de activos, que a su vez derivarán de lo que en cada caso haya sido autorizado por el Banco de España, quedando limitado el tratamiento a dichas finalidades, que deberán resultar coincidentes con las funciones atribuidas al Fondo de Garantía de Depósitos sucesivamente por los Reales Decretosleyes 18/1982 y 16/2011, en sus sucesivas redacciones, no conservándose los datos por un período de tiempo superior al necesario para el ejercicio de las actuaciones de control que se han venido indicando. Del mismo modo, y en relación con la cuestión planteada en cuarto lugar en la consulta, la cesión de los datos implicará la incorporación de los mismos a un fichero del que será responsable el Fondo de Garantía de Depósitos, debiendo procederse a su notificación a fin de que el mismo sea inscrito en el Registro general de Protección de Datos, tal y como exige el artículo 26.1 de la Ley Orgánica 15/1999, según el cual “Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos” VII Resta finalmente hacer referencia a la cuestión planteada en la consulta en relación con el deber de información a los interesados acerca del tratamiento de los datos llevado a cabo por el Fondo de Garantía de Depósitos. Como punto de partida es preciso indicar que el derecho del interesado a ser informado acerca del tratamiento y cesión de los datos de carácter personal es una de las facultades que comprenden el derecho fundamental a la protección de datos, de forma que las limitaciones del mismo han de ser necesariamente interpretadas de forma restrictiva. El artículo 5.1 de la Ley Orgánica establece de forma general la obligación de informar acerca del tratamiento de los datos de carácter personal, debiendo dicha información contener como mínimo los extremos establecidos en dicho precepto, entre los que se encuentra la indicación de los destinatarios de la información. Este deber de información se extiende igualmente a los supuestos en que los datos no hayan sido recabados directamente del interesado, debiendo informarse al mismo acerca de los mismos extremos contenidos en el artículo 5.1 de la Ley Orgánica 15/1999 en el plazo de tres meses desde la recogida de los datos, a menos que con anterioridad a dicho plazo vaya a procederse a la cesión de los datos, en cuyo caso habrá de informarse antes de tener lugar la primera cesión (artículos 5.4 y 27 de la Ley Orgánica 15/1999). A su vez, las excepciones al cumplimiento del deber de información aparecen, con carácter general, recogidas en el primer párrafo del artículo 5.5 de la Ley Orgánica 15/1999, según el cual “No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, cuando el tratamiento tenga fines históricos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias”. Asimismo, es preciso tener en cuenta que el artículo 5 de la Ley Orgánica viene a trasponer al derecho español lo establecido en los artículos 10 y 11 de la Directiva 95/46/CE. A tal efecto resulta relevante recordar que el artículo 11, referido al cumplimiento del deber de información cuando los datos no proceden del propio afectado señala que esta obligación habrá de cumplirse “salvo si el interesado ya hubiera sido informado de ello” y en estos mismos términos se pronuncia el artículo 5.4 de la Ley Orgánica; es decir, junto a las excepciones previstas en el artículo 5.5 de la Ley Orgánica 15/1999 tampoco sería necesario cumplir el deber de información cuando éste ya se hubiese cumplido previamente por el propio responsable o por un tercero. Así en caso de cesión de datos si el cedente ha informado adecuadamente al afectado acerca de la cesión de sus datos al cesionario, con indicación de la finalidad que justificará dicha cesión, no sería preciso que éste último haya de informar nuevamente al interesado, facilitándole una información que obra ya en su poder. En cuanto a la aplicación de la excepción legal prevista en el apartado 5.5 de la Ley Orgánica 15/1999 debe entenderse que la misma no opera en el presente caso por cuanto la cesión y tratamiento de los datos deberían recogerse expresamente en las normas legales para que aquélla pudiera operar, siendo así que si bien las normas citadas en el apartado II de este informe amparan y legitiman el tratamiento de los datos no se refieren expresamente ni a la cesión de los mismos al Fondo de Garantía de Depósitos ni al tratamiento posterior de los datos por parte del Fondo. En este sentido, la esta Agencia hizo referencia en su informe de 8 de noviembre de 2004, al alcance de la excepción mencionada, indicando lo siguiente “El artículo 5 de la Ley Orgánica 15/1999 viene a establecer un deber impuesto en general a los responsables de los tratamientos, de tal suerte que, en principio, será necesario informar al afectado del tratamiento de sus datos de carácter personal, tanto en los supuestos en que el mismo cuenta con el consentimiento del mismo como en los casos en que el tratamiento se encuentra habilitado por otras causas admitidas por el artículo 6 de la propia Ley. Según lo dispuesto en el propio artículo 5, el cumplimiento de dicho deber debería ser inmediato en caso de que los datos fueran recogidos de los afectados o verificarse en el plazo de tres meses desde la recogida, si el origen de los datos no fuera el propio afectado. No obstante, esta regla admite determinadas excepciones o matizaciones para supuestos excepcionales. Así, en caso de que los datos no sean recogidos directamente de los afectados, el artículo 5.5 establece en su párrafo primero que “No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia Española de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias”. El precepto transcrito tiene su origen en lo establecido en el artículo 11.2 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995 relativa a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, de la que la Ley Orgánica 15/1999 es transposición al Ordenamiento español. Según dicho precepto “Las disposiciones del apartado 1 (referido al deber de información en caso de recogida de los datos de fuentes distintas al propio afectado) no se aplicarán, en particular para el tratamiento con fines estadísticos o de investigación histórica o científica, cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados o el registro o la comunicación a un tercero estén expresamente prescritos por ley. En tales casos, los Estados miembros establecerán las garantías apropiadas”. De este modo, una interpretación coherente del artículo 5.5 de la Ley Orgánica 15/1999, a la vista de lo establecido en la Directiva 95/46/CE de que trae causa, implica que el deber de información al afectado quedará exceptuado en los supuestos en que el tratamiento o cesión de datos venga expresamente regulado en una norma con rango de Ley.” No obstante es preciso tener en cuenta dos cuestiones que resultan relevantes a la hora de resolver sobre el supuesto planteado: en primer lugar, dentro de los datos que podrán ser objeto de tratamiento en el marco de los esquemas de protección de activos la consulta se refiere a los identificativos de los afectados, así como los de “las características y evolución del crédito o servicio financiero de que se trate y eventualmente a su NIF”; es decir, no se incluyen en principio los datos de contacto de los interesados. Por otra parte, en segundo lugar, constituido el esquema de protección de activos la entidad a la que se refiere el mismo se encontraría obligada a informar a sus clientes, ex artículo 5.1 de la Ley Orgánica 15/1999, de que el Fondo de Garantía de Depósitos podrá ser destinatario de la información. De este modo, de las circunstancias concurrentes en este caso se desprende que deberían ser las entidades beneficiarias del esquema las que informasen al interesado acerca de la cesión de sus datos al Fondo de Garantía de Depósitos, al estar obligadas a ello por el artículo 5.1 de la Ley Orgánica 15/1999, lo que excluiría, conforme al artículo 5.4 el deber del Fondo de informar a los interesados acerca de esa cesión. Dicho todo lo anterior, la consulta adjunta un modelo de cláusula informativa que se facilitaría por las entidades beneficiarias a sus clientes. Respecto de la misma cabe indicar que, en lo referido estrictamente la cesión de los datos que se viene analizando en el presente informe dicha cláusula resulta conforme a lo exigido por el artículo 5.1 de la Ley Orgánica 15/1999. En cuanto a las afirmaciones contenidas en la segunda frase de la misma la debería estarse en cuanto a la exoneración de responsabilidad que de la misma parece derivarse a las circunstancias concurrentes en cada caso, sin perjuicio de no oponerse esta Agencia a su inclusión con carácter general. VIII A la vista de todo lo señalado a lo largo del presente informe cabe extraer las siguientes conclusiones: - En el presente supuesto existirá una cesión de datos de carácter personal por las entidades beneficiarias de los esquemas de protección de activos al Fondo de Garantía de Depósitos, no teniendo el mismo la condición de encargado del tratamiento sino de responsable que tratará los datos con posterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 - La cesión y el posterior tratamiento de los datos se encuentran amparado por lo dispuesto, respectivamente, en los artículos 11.2
- a)y 6.1 de la Ley Orgánica 15/1999, en conexión con las normas con rango de Ley que resultan sucesivamente aplicables a este tipo de situaciones y que se detallan en el apartado II de este informe. - El deber de información deberá ser cumplido por la entidad beneficiaria, siendo adecuada al respecto la referencia contenida en el modelo presentado en la consulta, sin perjuicio de lo señalado en el último párrafo del apartado VII de este informe. - El Fondo de Garantía de Depósitos deberá proceder a la notificación del fichero para su inscripción en el Registro General de Protección de Datos, conforme al artículo 26.1 de la Ley Orgánica 15/1999. - Los miembros del “Comité de autorizaciones” tendrán, a título individual cada uno de ellos, la condición de encargados del tratamiento del Fondo de Garantía de Depósitos, debiendo cumplir lo establecido al efecto por la Ley Orgánica 15/1999 y su normativa de desarrollo.>> SÉPTIMO: Con fecha 15/09/2014, registro en la Agencia del mismo día, se recibe escrito del FROB en el que indica que desiste de la petición por variación de las circunstancias que motivaron la solicitud, solicitando se archive su petición. FUNDAMENTOS DE DERECHO I De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, la competencia para dictar resolución concediendo o denegando la exención del deber de informar corresponde al Director de la Agencia Española de Protección de Datos. II El artículo 153 del Reglamento de la LOPD indica: 1. El procedimiento para obtener de la Agencia Española de Protección de Datos la exención del deber de informar al interesado acerca del tratamiento de sus datos de carácter personal cuando resulte imposible o exija esfuerzos desproporcionados, prevista en el apartado 5 del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, se iniciará siempre a petición del responsable que pretenda obtener la aplicación de la exención. 2. En el escrito de solicitud, además de los requisitos recogidos en el art. 70 de la Ley 30/1992, de 26 de noviembre, el responsable deberá:
- a)Identificar claramente el tratamiento de datos al que pretende aplicarse la exención del deber de informar.
- b)Motivar expresamente las causas en que fundamenta la imposibilidad o el carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar.
- c)Exponer detalladamente las medidas compensatorias que propone realizar en caso de exoneración del cumplimiento del deber de informar.
- d)Aportar una cláusula informativa que, mediante su difusión, en los términos que se indiquen en la solicitud, permita compensar la exención del deber de informar.” Sin conocer las entidades sobre las que ha operado el EPA, ni las cláusulas standard que se incorporan al contrato de compraventa referidas al EPA de las entidades “resueltas”, (identificación del tratamiento) así como la cláusula informativa, ni las medidas compensatorias, no puede entrarse a valorar la petición. Esta documentación es indispensable y así lo indica el mencionado artículo. Además sin esa información no es posible entrar a valorar si son posibles o no otros modos para informar a los afectados, y en consecuencia la exención del artículo 5.5 de la LOPD. Asimismo, con la no respuesta de la petición de información, se produce una dilatación del plazo señalado en la norma para resolver el procedimiento. Sería aplicable la suspensión del procedimiento que señala el artículo 42.5
- a)de la LRJPAC “El transcurso del plazo máximo legal para resolver un procedimiento y notificar la resolución se podrá suspender en los siguientes casos:
- a)Cuando deba requerirse a cualquier interesado para la subsanación de deficiencias y la aportación de documentos y otros elementos de juicio necesarios, por el tiempo que medie entre la notificación del requerimiento y su efectivo cumplimiento por el destinatario, o, en su defecto, el transcurso del plazo concedido, todo ello sin perjuicio de lo previsto en el artículo 71 de la presente Ley.” El artículo 90.2 de la LRJPAC indica: “La Administración aceptará de plano el desistimiento o la renuncia, y declarará concluso el procedimiento salvo que, habiéndose personado en el mismo terceros interesados, instasen éstos su continuación en el plazo de diez días desde que fueron notificados del desistimiento.” De acuerdo con la petición de desistimiento, el procedimiento se archiva. PRIMERO: ARCHIVAR la solicitud del FONDO DE ORDENADA BANCARIA por desistimiento de la solicitante. REESTRUCTURACIÓN SEGUNDO: NOTIFICAR la presente resolución a FONDO DE REESTRUCTURACIÓN ORDENADA BANCARIA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, y del 116 del Real Decreto 1720/2007, de 21/12, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es