1/7 Expediente N.º: EXP202209565 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 14 de julio de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra KUTXABANK, S.A., con NIF A95653077 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada ha facilitado a su exmarido "justificantes de movimientos de mi titularidad" y éste ha presentado dicha información en uno de los procedimientos judiciales en el que se hallan inmersos, pese a que la parte reclamante, a su vez, también solicitó información a la parte reclamada relativa a la titularidad de determinados movimientos; pero, en su caso, le fue denegada dicha información. Junto a la reclamación aporta: - Copia de los justificantes controvertidos relativos a su persona (siendo el último de ellos de fecha 7 de octubre de 2020) en los que figura, entre otros, nombre del ordenante (la parte reclamante), concepto, cuenta de origen, cuenta de destino, nombre del beneficiario y concepto. - Los e-mails intercambiados con la entidad reclamada relativos a la solicitud efectuada (en fecha 9 de febrero de 2022) en la que se solicita "justificante dónde se vea el titular" que ha realizado determinados movimientos, "titularidad de la tarjeta de crédito que tiene cargo en la cuenta común y que provoca cargos (...)", "si hay algún ingreso por parte de A.A.A. con el concepto "comisiones" desde enero del 2020". - Copia de la respuesta recibida el 21 de febrero de 2022, en la que se adjunta un certificado, así como respuesta de la parte reclamante manifestando que lo recibido solo justifica los movimientos realizados y no le sirve para la reclamación judicial, pues no se indica "quién de los dos ha realizado los movimientos porque en el detalle de la aplicación no lo pone y a nombre de quién está puesta la tarjeta de crédito que está haciendo el gasto". - Copia de una última respuesta de la parte reclamada (de fecha 21 de febrero de 2022) en la que indica lo siguiente: "Lo siento, pero esa es la información que nuestro Dpto de Asesoría Jurídica nos permite certificar. Cualquier otra información tendría que ser mediante requerimiento judicial". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19 de septiembre de 2022, como consta en el certificado que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 14 de octubre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 5 de abril de 2022 se presentó reclamación por la parte reclamante donde informa de la sospecha de que su ex marido tenía acceso a su información económica por lo que solicitó los accesos a sus datos por parte del personal KUTXABANK S.A., aportando respuesta de la entidad donde se le informa que “las personas que manejan datos dentro de la Entidad traten la información a que tengan acceso con absoluta confidencialidad… en caso de que desee remitir el resultado de cualquiera indicios o evidencias de potenciales brechas de confidencialidad que considere acontecidas, con objeto de que, en su caso, pueda iniciarse el correspondiente procedimiento interno”. Con fecha 9 de mayo de 2022 se emite resolución de inadmisión a trámite de la reclamación informando que “no se aprecian indicios documentales suficientes que permitan deducir una vulneración del deber de confidencialidad o que las medidas técnicas y organizativas aplicadas por la entidad reclamada no sean las apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Por otra parte, el derecho de acceso regulado en la normativa de protección de datos no habilita a conocer la identidad de las personas concretas de la organización del responsable que pudieran haber tenido acceso a datos personales, así como tampoco ampara la obtención de información sobre los accesos internos realizados por dichas personas en el ejercicio de sus funciones” (IT/02987/2022). Con fecha 2 de febrero de 2023 se remitió requerimiento de información a la entidad reclamada y de la respuesta recibida se desprende: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - La reclamante es titular de las cuentas bancarias ***901 y ***674, la primera de ellas conjunta con su exmarido. - La parte reclamada manifiesta que, con motivo de la solicitud de la Agencia, con fecha 6 de febrero de 2023 se inicia de oficio por parte del DPD una investigación interna en relación con los accesos a la cuenta de la reclamante y se comprueba que existen accesos de un empleado de la entidad que “no responden a una operatoria de negocio justificada ni quedan justificados inicialmente por ninguno de sus vínculos o relaciones profesionales con la cuenta” A este respecto aporta documento (documento nº 2), donde figuran los accesos por Centros de la entidad bancaria y explicación de los mismos. La explicación tipo 2 indica: “Se corresponde con accesos que no están justificados por las funciones del centro ni por solicitudes realizadas por los titulares de la cuenta. Tal y como se desarrolla en el escrito de respuesta, los accesos han sido realizados por un solo empleado en distintos momentos temporales y la Entidad ha activado el protocolo para contrastar la potencial conducta irregular del empleado en contra de las Políticas y normas de la Entidad”. - La parte reclamada. manifiesta que una vez que se tuvo conocimiento de los hechos se activaron de forma automática los protocolos y procedimientos internos de gestión de incidencias incluidos los procedimientos de gestión de incidencias en materia de protección de datos, procediendo los departamentos implicados a la remisión de los correspondientes informes, a efectos de que el DPD pudiera valorar el alcance de los hechos y, en consecuencia, adoptar las medidas técnicas y organizativas oportunas. El DPD a estos efectos concluyó que no es necesario implantar o reforzar los protocolos existentes en el ámbito de protección de datos “más allá de las posibles acciones que se deriven de la conducta aislada e individual del empleado”, ya que todas las políticas de la compañía reflejan de forma expresa el deber de secreto profesional. - En relación con las reclamaciones efectuadas por la reclamante la entidad ha aportado pantallazo de Quejas y Reclamaciones disponible en la banca on line, de fecha 1 de diciembre de 2021, en el que se reclama accesos indebidos por un empleado de la entidad a su cuenta ***674 facilitando información de la misma a terceros. (documento nº 3). Y con fecha 2 de diciembre de 2021 se remite contestación a la reclamación indicando que no existe ningún elemento o prueba que pudiera validar la supuesta incidencia. Asimismo, se informa que la entidad se encuentra a disposición de la reclamante en caso de que tenga indicios o evidencia de potenciales brechas de confidencialidad para que se pueda iniciar un procedimiento interno. (Documento nº 4). La entidad también ha aportado intercambio de correos electrónicos con la reclamante y un representante autorizado solicitando nuevamente información sobre los hechos descritos de fechas 2 y 21 de diciembre de 2021 y 3 de enero de 2022. En este último correo de respuesta le informan que su reclamación supone una denuncia de una conducta irregular de un empleado y, en aplicación de los procedimientos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 procesos establecidos en la Entidad, le informan que es necesario presentar una denuncia a través del canal ético. (documentos 5, 6 y 7). La parte reclamada manifiesta que no se realizó la denuncia. Asimismo, manifiesta que no consta solicitud de información de Juzgados en relación con la cuenta de la reclamada. Por otra parte, la reclamante ha aportado en su reclamación varios correos intercambiados con la entidad bancaria solicitando el titular que ha realizado movimientos en la cuenta común ***901, el titular de la tarjeta que ha provocado cargos y determinados ingresos en la cuenta por parte de su exmarido siendo contestado en varias ocasiones y según consta aportando un certificado emitido por la entidad bancaria. En el último correo, la reclamante vuelve a solicitar el titular que ha realizado los movimientos y es contestado, en fecha 21 de febrero de 2022, en el que le indican que esa es la información que el Dpto. de Asesoría Jurídica permite certificar y cualquier otra información tendría que ser mediante requerimiento judicial. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.