1/13 Expediente N.º: EXP202404054 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 7 de febrero de 2024, se recibió reclamación en la Agencia Española de Protección de Datos remitida por la Autoridad Catalana de Protección de Datos, conforme al artículo 14 de la Ley 40/2015, de 1 d octubre, de Régimen Jurídico del Sector Público. La reclamación se dirige contra CAIXABANK, S.A. con NIF A08663619 y contra TARGOBANK, S.A.U. con NIF A79223707 (en adelante, las partes reclamadas CAIXABANK y/o TARGOBANK). Los motivos en que se basa la reclamación son los siguientes: La parte reclamante, cliente de CAIXABANK y TARGOBANK, manifiesta que, a principio de cada mes, debe realizar una transferencia desde la primera entidad bancaria a la segunda, de la que es cotitular (…) y que, al consultar los detalles de dicha transferencia desde la web y la App de CAIXABANK, ha comprobado que en la misma consta su dirección postal. En fecha 20/10/2023, puso los hechos en conocimiento de TARGOBANK y, pese sus reiteradas reclamaciones, la incidencia persiste. Junto a la reclamación aporta: - Varias capturas de pantalla de transferencias de la que dice ser su cuenta de CAIXABANK, y en las que figura, además del número de cuenta, la fecha del valor, remitente, concepto, cantidad, fecha y beneficiario, un apartado denominado: "Ampliación remitente de la transferencia", en el que consta una dirección postal. - Asimismo, aporta intercambio de mensajes de correo electrónico entre la parte reclamante y su gestora de TARGOBANK, desde el 20/10/2023 al 3/11/2023, en los pone en conocimiento de dicha entidad bancaria la incidencia ocurrida en relación con la supuesta exposición/revelación de su dato del domicilio postal. TARGOBANK en fecha 27/10/2023, indica que “ha traslado nuevamente la cuestión a sus compañeros y que están intentando averiguar los motivos "de esa fuga de datos", por lo que, tan pronto tenga respuesta informará debidamente a la parte reclamante”. En uno de los correos electrónicos de 2 de noviembre, la parte reclamante asegura haber realizado una nueva transferencia desde TARGOBANK a CAIXABANK el 1 de noviembre y que, a su juicio, siguen facilitándose datos excesivos, pues en el detalle de la transferencia, continúa figurando su dirección postal. En contestación a ese correo, el 3/11/2023 TARGOBANK comunica al reclamante que "es un tema que se está tratando desde Francia y que desde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 - de ahí no pueden evitar de momento este trasvase de información, de todas formas, volveré a insistir transmitiendo la urgencia de este tema". Capturas de pantalla de otras conversaciones mantenidas con TARGOBANK, por medio distinto al correo electrónico, en las que consta un mensaje de la parte reclamante, de fecha 6/01/2024 preguntando si ya han solucionado la incidencia relativa a sus datos, así como respuesta de la parte reclamada, de fecha 8/01/2024 indicando “que desde Francia siguen sin encontrar una solución a dicha cuestión”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a TARGOBANK, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 18/03/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 15/04/2024 se recibe en esta Agencia escrito de respuesta de TARGOBANK indicando: “1.- ¿Han recibido la solicitud de ejercicio de derechos de protección de datos y, en caso afirmativo, con qué resultado?” “1.1. Desde la Oficina de Privacidad de TARGOBANK se ha llevado a cabo una investigación interna y se ha podido constatar que el incidente en el tratamiento de datos descrito por el interesado en el Expediente 202404054 (en lo sucesivo el Expediente) coincide plenamente con el que trasladó dicho interesado a TARGOBANK a través de un correo electrónico de fecha 19 de octubre de 2023, dirigido a una gestora de la Oficina ***OFICINA.1 de TARGOBANK situada en el municipio de ***LOCALIDAD.1. (…) 1.2. Tomando en consideración lo indicado en el apartado anterior, una vez recibida la incidencia por la gestora de la Oficina ***OFICINA.1, se trasladó la misma internamente para su gestión a través de la herramienta de “ticketing” utilizada en TARGOBANK (herramienta SARA). En este sentido, la primera notificación con número de referencia ***REFERENCIA.1, se produjo en fecha 20 de octubre de 2023 y se dirigió al departamento de Cumplimiento Normativo, del que forma parte la Oficina de Privacidad de TARGOBANK. (Adjunta captura de pantalla de esta actuación obtenido de los sistemas de información del banco). La segunda notificación con referencia ***REFERENCIA.2, se creó desde la Oficina ***OFICINA.1 de TARGOBANK también en fecha 20 de octubre de 2023 y se dirigió a “CSE Cobros y Pagos Nacionales de España”, es decir, al departamento de Backoffice de medios de pago, encargado de la administración, control y gestión de las transferencias bancarias en TARGOBANK. (Adjunta captura de pantalla de esta actuación obtenido de los sistemas de información del banco). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 1.3. En relación con el ticket remitido a Cumplimiento Normativo, las acciones desarrolladas por la Oficina de Privacidad para gestionar la incidencia consistieron en lo siguiente: • En primer lugar, en fecha 26 de octubre de 2023, se solicitó a la Oficina ***OFICINA.1, la evidencia remitida por el interesado en su reclamación de fecha 19 de octubre, con el justificante de la Entidad Bancaria destinataria de la transferencia económica realizada desde la cuenta del interesado en TARGOBANK, con la finalidad de poder verificar la incidencia notificada por el interesado, es decir, que en dicho justificante se mostraba la dirección postal de su domicilio. Dicha evidencia fue aportada por la Oficina ***OFICINA.1 a la Oficina de Privacidad a través de la herramienta de ticketing interna el mismo día de la solicitud, es decir, el 26 de octubre de 2023. Se adjunta a continuación, captura de pantalla de dicho justificante. (…) • En segundo lugar, analizada la evidencia de la transferencia bancaria y de acuerdo con las características de la incidencia notificada por el interesado, desde la Oficina de Privacidad se contactó telefónicamente con la persona responsable del departamento de Backoffice de medios de pago de TARGOBANK, con la finalidad de trasladar la incidencia recibida y recabar la información oportuna que permitiera dar respuesta al interesado, explicando el motivo por el cual el dato del domicilio del interesado constaba en el justificante de la Entidad bancaria receptora de la transferencia bancaria realizada. Desde el departamento de Backoffice de medios de pago trasladan a la Oficina de Privacidad que dicho departamento tiene constancia de la reclamación presentada por el interesado debido al ticket ***REFERENCIA.2 y que, desde dicho departamento, se va a realizar la debida consulta al departamento de medios de pago de la empresa del Grupo Credit Mutuel Alliance Federal que presta servicios de soporte a TARGOBANK. Desde el departamento de Backoffice de medios de pago indican, además, que trasladarán la respuesta a la Oficina ***OFICINA.1 a través del ticket ***REFERENCIA.2, pudiendo de esta manera el gestor de la Oficina remitir la respuesta al interesado. Cabe señalar que, de la investigación realizada, se ha podido constatar que esta comunicación interna anunciada, nunca se llegó a producir. A la vista de las indicaciones del departamento de Backoffice de medios de pago, desde la Oficina de Privacidad de TARGOBANK se da contestación a la Oficina ***OFICINA en fecha 30 de octubre de 2023, incluyendo esta información en el ticket ***REFERENCIA.1. Se adjunta captura de la información incluida en el ticket. (…) 1.4. En relación con el ticket remitido a “CSE Cobros y Pagos Nacionales de España”, las acciones desarrolladas por el departamento de Backoffice de medios de pago para gestionar la incidencia, han consistido en lo siguiente: • En primer lugar, con fecha 23 de octubre de 2023, se creó un nuevo ticket SARA con número de referencia ***REFERENCIA.3, a través del cual desde el departamento de Backoffice de medios de pago de TARGOBANK se trasladó al departamento de medios de pago de la empresa del Grupo Credit Mutuel Alliance Federal que presta servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 de soporte a TARGOBANK, la consulta oportuna para conocer la justificación de incluir el domicilio del ordenante en las transferencias bancarias. La respuesta del departamento de medios de pago de la empresa del Grupo Credit Mutuel Alliance Federal que presta servicios de soporte a TARGOBANK indicaba que la incorporación de la dirección postal del interesado en las transferencias emitidas se considera una regla corporativa del sistema de información que da soporte a las transferencias de fondos y de aquí se desprende que la reclamación del interesado no deriva de una incidencia del sistema sino de un funcionamiento normal y adecuado: (el subrayado es de la AEPD) Hola, Puedo confirmar que la dirección del DO siempre se indica para las transferencias emitidas. Si no se indica la dirección del DO utilizamos la dirección que figura en la base de datos TIERS. Se trata de una norma de grupo. No creo que pueda evitarse. Atentamente. • En segundo lugar, en virtud de la respuesta anterior, desde el departamento de Backoffice de medios de pago de TARGOBANK se analizó la transferencia concreta indicada por el interesado en su reclamación y se certificó que efectivamente se había cumplido con la regla corporativa de incluir la dirección del interesado en la transferencia emitida. Se adjunta a continuación captura de pantalla de la información relativa a dicha transferencia bancaria: (…) • Por último, desde el departamento de Backoffice de medios de pago de TARGOBANK también se trasladó la misma consulta al departamento de transferencias de la empresa Matriz del grupo del que forma parte TARGOBANK, Abanca Corporación Bancaria, S.A., en fecha 25 de enero de 2024, con el objetivo de conocer si dicha empresa matriz también tiene implantada la misma regla corporativa que TARGOBANK en las transferencias emitidas. La respuesta a dicha consulta certificó que, la empresa matriz del grupo bancario al que pertenece TARGOBANK, también tiene implantada la regla de incluir la dirección del emisor en las transferencias emitidas, en cumplimiento de la normativa vigente que resulta de aplicación a las transferencias de fondos. Se adjunta a continuación captura de pantalla de la consulta de referencia y de la respuesta a la misma. 1.5. Con la confirmación de que la inclusión del dato del domicilio en las trasferencias bancarias emitidas sirve para dar respuesta a un requerimiento normativo, desde la Oficina de Privacidad de TARGOBANK, con la colaboración del departamento de Cumplimiento Normativo y Servicios Jurídicos del Banco, se llevó a cabo un análisis normativo con la finalidad de determinar con exactitud la norma que establece la obligación de comunicar el dato del domicilio en las transferencias bancarias. Del análisis realizado se determinó que dicha obligación legal viene establecida en el Reglamento (UE) 2015/847 del Parlamento Europeo y del Consejo de 20 de mayo de 2015 relativo a la información que acompaña a las transferencias de fondos y por el que se deroga el Reglamento (CE) nº 1781/2006. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 En el artículo 4 de dicho Reglamento se establece que el prestador de servicios de pago del ordenante de una transferencia de fondos debe asegurarse de que la misma vaya acompañada de la siguiente información relativa al ordenante:
- a)El nombre del ordenante;
- b)El número de cuenta de pago del ordenante, y
- c)La dirección, el número del documento oficial de identidad, el número de identificación del cliente o la fecha y lugar de nacimiento del ordenante. 2.- Si han dado respuesta a la solicitud de ejercicio de derechos de la parte reclamante, acreditación de la respuesta facilitada. 2.1. De la investigación interna realizada se ha podido constatar que, a pesar de haber realizado diversas acciones internas para determinar y conocer el motivo y/o la justificación por la que se produce la incidencia informada por el interesado en su reclamación de fecha 19 de octubre de 2023, ninguna de las áreas o departamentos de TARGOBANK implicados en la gestión de dicha incidencia, adoptaron las medidas necesarias para dar respuesta al interesado y trasladarle las explicaciones oportunas al respecto, por lo que, lógicamente el interesado, al no recibir respuesta a su reclamación, finalmente optó por presentar la oportuna reclamación ante la Agencia Española de Protección de Datos. 3.- En el supuesto de que se haya ejercitado el derecho de acceso, rectificación o supresión, informar si los datos solicitados están bloqueados o no. 3.1. Del contenido del Expediente de referencia, se desprende que la solicitud del interesado no corresponde con el ejercicio de los derechos de acceso, rectificación o supresión reconocidos por la normativa vigente en materia de protección de datos personales y, por lo tanto, se informa que los datos personales solicitados no están bloqueados. 4.- ¿Han adoptado alguna decisión a propósito de la reclamación que se traslada o prevén adoptarla? 4.1. A propósito de la reclamación trasladada a través del Expediente de referencia, desde la Oficina de Privacidad de TARGOBANK y de acuerdo con las indicaciones del Delegado de Protección de Datos personales del Banco, se ha remitido con fecha 10 de abril de 2024, una comunicación expresa en formato electrónico con asunto “OFICINA DE PRIVACIDADDPO_COMUNICACIÓN RELEVANTE_INCIDENCIA DE DATOS COMPARTIDOS EN TRANSFERENCIAS BANCARIAS” a los departamentos de: (
- i)Sistemática Comercial, (
- ii)Servicio de Atención al Cliente, (iii) Backoffice de medios de pago y (
- iv)Asesoría Jurídica corporativa y de negocio, así como a los responsables de dichos departamentos, donde se les insta a que, siempre que cualquiera de las personas que forman parte de estos departamentos reciban o tengan constancia de una reclamación con las mismas características como la que se ha trasladado por parte de la AEPD a través del Expediente de referencia, que la misma sea remitida a la Oficina de Privacidad de TARGOBANK sin dilación y dirigida a la dirección electrónica (...)@targobank.es con la finalidad de que la misma pueda ser gestionada de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 manera centralizada por un único departamento del Banco que se encargará de: (
- i)registrar la reclamación, (
- ii)recabar en su caso la información que resulte oportuna, (iii) hacer el seguimiento oportuno para que la contestación pueda realizarse en un plazo de tiempo prudencial y (
- iv)remitir la respuesta correspondiente al interesado. 4.2. De acuerdo con lo anterior, a continuación, se incluye el texto con el contenido de la comunicación remitida y captura de pantalla del correo electrónico, así como de las evidencias de entrega de dicho correo electrónico. (…) 5.- Si han dado respuesta a la parte reclamante con motivo del traslado por esta Agencia de su reclamación, acreditación de la respuesta facilitada. 5.1. Con motivo del traslado de la reclamación a través del Expediente de referencia, y puesto que la razón de ser de dicha reclamación deriva del hecho de que desde TARGOBANK no se dio la debida contestación al interesado en la reclamación recibida en fecha 19 de octubre de 2023, el Delegado de Protección de Datos de TARGOBANK ha considerado que lo más adecuado es remitir la debida contestación al interesado sobre el asunto de referencia. 5.2. En virtud de lo anterior, con fecha 11 de abril de 2024, desde la dirección electrónica de la Oficina de Privacidad de TARGOBANK ((...)@targobank.es), se le ha remitido al interesado, el señor Don A.A.A., respuesta explicativa de su reclamación y se le han trasladado las disculpas oportunas por no haber remitida dicha contestación con anterioridad. A continuación, se incluye el texto de la respuesta incluido como documento adjunto del mencionado correo electrónico de contestación y captura de pantalla de dicho correo electrónico, así como de las confirmaciones de entrega y de lectura del correo electrónico. (…) 6.- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 6.1. La causa que ha motivado la reclamación por parte del interesado ha sido que la gestión de la solicitud de información inicial de fecha 19 de octubre de 2023 no tuvo la respuesta explicativa exigida por el interesado, a pesar de que, como se ha evidenciado en las respuesta de la pregunta 1 del presente escrito de contestación, se realizaron diversas acciones a nivel interno para recabar la información necesaria para explicar al interesado el motivo por el cual se comunica el dato de domicilio en las transferencias bancarias emitidas desde TARGOBANK. 6.2. Siguiendo con lo anterior, de la investigación interna realizada se ha podido constatar que, el no realizar una gestión centralizada por parte de un área o departamento concreto de TARGOBANK en relación con la solicitud de información recibida del interesado, ha provocado que la comunicación entre las distintas áreas y/o departamentos haya sido deficiente y no se haya realizado el seguimiento adecuado para haber evitado esta reclamación. 6.3. En relación con la supuesta incidencia que motivó la solicitud de información inicial por parte del interesado, podemos afirmar que la misma no se puede considerar como una incidencia de TARGOBANK, ya que se ha constatado que el tratamiento del dato del domicilio en las transferencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 emitidas desde el Banco, tiene su razón de ser en el cumplimiento de una obligación legal establecida Reglamento (UE) 2015/847 del Parlamento Europeo y del Consejo de 20 de mayo de 2015 relativo a la información que acompaña a las transferencias de fondos (en adelante RFT o Reglamento de transferencias). En virtud de lo anterior, se considera que la comunicación del dato del domicilio en la trasferencia bancaria de fondos es lícita de acuerdo con lo dispuesto en el artículo 6.1
- c)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante RGPD) donde se dispone: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento” En todo caso, los datos personales tratados a efectos del cumplimiento de las obligaciones establecidas en el RFT en materia de prevención del blanqueo de capitales y de la financiación del terrorismo no deben ser tratados posteriormente de forma que resulte incompatible con la normativa vigente en materia de protección de datos personales. En este sentido, una vez constatada la legitimación de TARGOBANK en el tratamiento del dato del domicilio del interesado en base al cumplimiento de una obligación legal, tal como determina el RGPD, desde TARGOBANK se considera que debe ser el prestador de servicios de pago del receptor o beneficiario de la transferencia de fondos el que proceda a limitar los datos de los ordenantes que se muestran en sus justificantes de abono a los estrictamente necesarios para practicar dicha notificación ”. (el subrayado es de la AEPD) TERCERO: Con fecha 8/05/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Las actuaciones de investigación se centraron en determinar qué información suministra al destinatario de la transferencia, el banco receptor de la transferencia, CAIXABANK. En fecha 29/05/2025 CAIXABANK presentó escrito de contestación al requerimiento de información en que entre otros extremos manifestó que: “I.- (…) En su reclamación A.A.A., (en adelante el “Reclamante”) indica que cada vez que realiza una transferencia desde su cuenta de TARGOBANK a una cuenta de CaixaBank, de la que es cotitular, al consultar el detalle de las operaciones en la banca digital de CaixaBank como receptor (o beneficiario) de la transferencia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 aparecen datos personales como su dirección de correo postal, sin que haya dado su autorización a que figure esta información en el documento. II. Que en relación con el mencionado escrito y teniendo en cuenta que las pantallas aportadas por el reclamante en su reclamación no son de la Banca Digital de CaixaBank, desconociendo esta entidad a que otra entidad financiera pertenecen las mismas, cúmplenos remitirles la siguiente información y/o documentación en respuesta a las siguientes preguntas realizadas por la Agencia: (el subrayado es de la AEPD) 1. Datos que se comunican a las personas beneficiarias de los ordenantes de las mismas. Si en entre esos datos se encuentra la dirección del ordenante de la transferencia. Actualmente los datos que CaixaBank visualizan los beneficiarios de transferencias son los siguientes: Información General o Número de cuenta del beneficiario (IBAN) o Oficina gestora de la cuenta o Importe de la transferencia o Fecha de la transferencia o Hora o Fecha valor o Remitente: Nombre y apellidos o Referencia 2: Código alfanumérico que identifica la operación Mas Información o Concepto de la transferencia (el indicado por el ordenante en la entidad origen) o Ampliación remitente: nombre y apellidos del remitente o Beneficiario: datos indicados por el remitente. Datos SEPA: o Nombre del ordenante: Nombre y apellidos o Concepto informado por el ordenante o Identificación del ordenante (Código alfanumérico) o Identificación del ordenante (Código alfanumérico) o Nombre del beneficiario o Referencia del beneficiario Se adjunta como ejemplo de estos datos un ejemplo del justificante de transferencia que se genera al beneficiario, así como las pantallas (versión APP y versión WEB) de la Banca Digital de CaixaBank donde los clientes pueden consultar el detalle de estas operaciones. Este ejemplo es de una transferencia donde el Reclamante es ordenante desde otra entidad financiera (Abanca) y también es receptor o beneficiario de la misma. (…) 2.- Base de legitimación en virtud de la cual se pone en conocimiento de los beneficiarios de las transferencias recibidas la dirección del ordenante de la transferencia. Tal como se ha mostrado en los documentos aportados, no se muestra el dato de la dirección del ordenante de la transferencia. 3.- Motivos por los que en este caso se ha puesto de manifiesto la dirección del ordenante a terceros titulares de la cuenta beneficiaria de la transferencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13 La documentación aportada por el reclamante en su reclamación (presuntamente, las pantallas de su banca online), no corresponden a la Banca Digital de CaixaBank, por tanto, CaixaBank no resulta responsable de la misma. (…) 5.- Si se informa a los ordenantes de transferencias de los datos de su dirección serán puestos en conocimiento del tercero beneficiario de las mismas. Tal como se ha acreditado en los documentos aportados, no se muestra el dato de la dirección del ordenante de la transferencia. (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" III Presunción de inocencia La Sentencia del Tribunal Supremo de 29 de enero de 1994, recogiendo una línea jurisprudencial consolidada, advierte que "tanto el T.C. (STC de 8.6.81 y 3.10.83, entre otras), como el T.S. (SSTS de 26.4. y 17.7.82) han perfilado una doctrina en materia de derecho sancionador, de la que merecen destacarse como líneas maestras las siguientes: (…) 2º.- En materia de Derecho Administrativo sancionador son de aplicación los principios generales del Derecho Penal, coincidentes sustancialmente con los principios esenciales reflejados en el art. 24 CE. en materia de procedimiento, y han de ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 aplicables en la medida necesaria para preservar los valores esenciales que se encuentran en la base del precepto y la seguridad jurídica que garantiza el art. 9 CE 3º.- Lógica consecuencia de todo ello es que la presunción de inocencia, proclamada en el párrafo 2º de tal precepto, supone que la carga probatoria de los hechos en que se basa recae sobre la parte que los imputa, y por otra parte, que el principio de tipicidad exige también para su aplicación la plena concordancia de los hechos imputados en las previsiones prácticas aplicables al caso.” Por tanto, para extrapolar al Derecho Administrativo sancionador los principios de la esfera punitiva, ha de exigirse que la conducta infractora reúna los requisitos que en el ámbito Penal se establecen para los delitos y faltas. En consecuencia, la responsabilidad administrativa no puede asentarse en una ausencia de certeza plena sobre los hechos imputados, pues toda sanción ha de apoyarse en una actividad probatoria de cargo o de demostración de la realidad de la infracción que se reprime, sin la cual la represión misma no es posible (Sentencias del Tribunal Constitucional de 11 de marzo de1985, 11 de febrero de 1986, y 21 de mayo de 1987), y, ello, porque al beneficiar la presunción de inocencia al administrado en el ámbito de la potestad sancionadora de la Administración (de conformidad con el artículo 24.2 de la Constitución), ha declarado la Sentencia del Tribunal Constitucional de 8 de marzo de 1985 que dicha presunción no puede entenderse reducida al estricto campo del enjuiciamiento de conductas presuntamente delictivas, sino que debe presidir también la adopción de cualquier resolución o conducta, de las personas de cuya apreciación derive un resultado sancionador o limitativo de sus derechos, comportando el Derecho a la presunción de inocencia que la sanción esté reprochada, que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio, toda vez que el ejercicio del "ius puniendi", según la Sentencia del Tribunal Constitucional de 26 de abril de 1990,está condicionado en sus diversas manifestaciones por el artículo 24.2 de la Constitución al juego de la prueba y a un pronunciamiento contradictorio en el que puedan defenderse las propias posiciones. El principio de Presunción de Inocencia es un Derecho Fundamental reconocido en el artículo 24.2 de la Constitución Española. 2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia. Según reiterada Jurisprudencia, la presunción de inocencia exige una valoración de la suficiencia de la prueba de cargo, siendo necesario que el fallo condenatorio se apoye en verdaderos actos de prueba y no en meras especulaciones. Por su parte el principio “in dubio pro reo” en el ordenamiento jurídico español proclama que "toda persona es inocente hasta que se demuestre lo contrario", esto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 significa que si existen dudas acerca de la culpabilidad de una persona, en un delito, habrá de ser declarada inocente o no culpable. No obstante, la Jurisprudencia del Tribunal Supremo indica que el principio “in dubio pro reo”, no tiene carácter orientativo en la valoración de la prueba. Por lo tanto, solo ha de aplicarse cuando no exista seguridad acerca de la culpabilidad del acusado a la vista de las pruebas. Es conocido que el Tribunal Supremo (vid. STS, 2ª, nº 459/2018, de 10 de octubre), modificando su anterior jurisprudencia, entiende que el principio in dubio pro reo forma parte del Derecho a la presunción de inocencia. La presunción de inocencia supondría la exigencia ineludible de concurrencia de prueba de cargo lícita y válida suficiente para dotar de certeza a la tesis acusatoria. Por su parte, el principio in dubio pro reo actuaría en un momento posterior del estadio de la valoración probatoria, una vez superado por la acusación el umbral de la presunción de inocencia del acusado. De alguna forma, la presunción de inocencia haría referencia a la existencia de prueba de cargo objetivamente convincente, mientras que in dubio pro reo se aplicaría a aquellos casos en los que el Tribunal, a pesar de existir esa prueba de cargo objetivamente suficiente para fundar una condena desde la perspectiva de la presunción de inocencia, albergara alguna duda subjetiva sobre la culpabilidad del acusado. En esos casos, se entiende por nuestra Jurisprudencia que, si el Tribunal mantiene sus dudas y su “falta de convicción”, debe, en todo caso, absolver al acusado. Y si a pesar de ello le condena y hay constancia en la Sentencia de esas dubitaciones, la resolución debe ser revocada o casada en vía de recurso. IV Conclusión La parte reclamante manifiesta que, cada vez que realiza una transferencia desde su cuenta de TARGOBANK a una cuenta de la que también es titular en CAIXABANK, al consultar el detalle de la operación en la banca digital de esta última puede visualizarse su dirección postal completa, sin que haya prestado consentimiento para que dicho dato sea comunicado al beneficiario de la transferencia. Aporta capturas de pantalla en las que se aprecia la dirección asociada al ordenante, considerando que dicha práctica vulnera la normativa de protección de datos al suponer una comunicación innecesaria de información personal a terceros. En su escrito de 15 de abril de 2025, TARGOBANK ha acreditado que el dato del domicilio del reclamante se recoge en cumplimiento del Reglamento 2015/47 relativo a la información que acompaña a las transferencias de fondos y por el que se deroga el Reglamento (CE) no 1781/2006, que, en su artículo 4, prevé la posibilidad de que se recabe el domicilio entre otros datos a la hora de hacer una transferencia. No obstante, señalaba TARGOBANK que corresponde a la entidad del beneficiario de la transferencia decidir los datos que se muestran al receptor de esta, y que TARGOBANK, por ejemplo, no muestra nunca el domicilio del ordenante cuando son sus clientes los destinatarios de una transferencia. Durante las actuaciones previas de investigación, CAIXABANK, en su respuesta de fecha 29 de mayo de 2025, manifestó que en sus sistemas no se muestra el dato de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 dirección postal del ordenante de la transferencia. Aporta ejemplos de justificantes de transferencia y de las pantallas correspondientes a la banca digital (tanto en su versión web como en aplicación móvil), en las que se evidencia que los datos visibles para el beneficiario son exclusivamente el nombre y apellidos del ordenante, el importe, la fecha, el concepto y otros elementos identificativos del pago, pero en ningún caso la dirección postal. Asimismo, la entidad precisó que las imágenes aportadas por el reclamante no corresponden a su banca digital. A la vista de lo anterior, no puede atribuirse a CAIXABANK la exhibición del dato de domicilio alegada, en tanto que no han podido ser desvirtuadas sus afirmaciones. Así, en el presente caso, revisada la documentación obrante en el expediente, los hechos denunciados no han quedado probados conforme a Derecho y ello por cuanto, no cabe afirmar que las capturas de pantalla de las transferencias que aporta el reclamante pertenezcan a la web o App de CAIXABANK. Debe tomarse en consideración que en ellas no figura logo alguno de dicha entidad bancaria. Es cierto que en dichas capturas de pantalla consta “Transferencia realizada a su favor”, pero no debe obviarse que el reclamante también es titular de la cuenta de CAIXABANK, tal y como especifica él en un correo enviado a TARGOBANK. Es decir es titular de cuentas bancarias en ambas entidades. En definitiva, no consta que las capturas de pantalla de transferencia que aporta el reclamante pertenezcan a CAIXABANK y, por tanto, no puede afirmarse que la entidad haya revelado la dirección postal del ordenante de la transferencia a terceros ni que haya incumplido las obligaciones establecidas en el RGPD o la LOPDGDD. En consecuencia, procede acordar el archivo de las actuaciones conforme al principio de presunción de inocencia. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. y TARGOBANK, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es