AI-00503-2024

1/11  Expediente N.º: EXP202413350 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 23 de julio de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada/ BBVA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en fecha 11/06/2024, el director comercial de una sucursal de BBVA (aporta datos identificativos al respecto) facilitó sus datos a un tercero (…) sin su consentimiento. En concreto, manifiesta que la parte reclamada envió a dicho tercero, a través de mensaje de correo electrónico, un certificado de deuda hipotecaria, en el que constaba los datos personales de la parte reclamante, el desglose de la deuda detallado, así como la cuenta del préstamo hipotecario y la cuenta bancaria, lo que le ha provocado un grave perjuicio ya que (…) no tenía conocimiento de su situación crediticia. Asimismo, manifiesta que, en fecha 16 de junio de 2024, dicho director comercial mantuvo una conversación por WhatsApp con (…), facilitándole información acerca de los productos contratados por la parte reclamante. Junto a la reclamación aporta:  Copia de un mensaje enviado por correo electrónico el 11/06/2024 desde la dirección de correo electrónico: “***EMAIL.1”, dirigido a ***EMAIL.2 que contiene en archivo adjunto un documento denominado: “(…)”.  Copia de conversaciones de WhatsApp mantenidas entre A.A.A. y el BBVA los días 11/06/2024 y 18/06/2024, con el siguiente contenido: o o o o o o o o C/ Jorge Juan, 6 28001 – Madrid “11/6/24, 9:49 - A.A.A.: Buenos días 11/6/24, 9:50 - A.A.A.: Estoy intentando contactar contigo, ¿Me puedes llamar? 11/6/24, 12:53 - Bbva: Estoy todo el día reunido 11/6/24, 12:53 - Bbva: Lo del certificado está pedida la modificación 11/6/24, 12:59 - A.A.A.: ¿Respecto a la comisión duplicada? 11/6/24, 13:00 - A.A.A.: ¿Cuándo se va a retroceder? 11/6/24, 13:23 - Bbva: Ya está también pedida 11/6/24, 13:24 - A.A.A.: Gracias www.aepd.es sedeaepd.gob.es 2/11 o o o o o o o o o o o o o o o o o o o o 18/6/24, 10:40 - A.A.A.: Buenos días 18/6/24, 10:40 - A.A.A.: No se ha retrocedido la comisión de (…) € por el certificado de deuda con finca registral errónea 18/6/24, 11:20 - Bbva: Ya está todo al dia 18/6/24, 11:20 - Bbva: Es más, he quitado más de (…) eur para dejar la cuenta (…) 18/6/24, 11:26 - A.A.A.: Había (…) euros en positivo que se descontaron por el certificado erroneo 18/6/24, 11:29 - A.A.A.: Si a lo que te refieres es el que se ha compensado con la comisión de (…) por mantenimiento de cuenta que tampoco se debe cobrar, no es lo correcto 18/6/24, 11:43 - Bbva: ¿Porque no es correcta la comisión de (…) euros? Según condiciones contractuales es totalmente licita. 18/6/24, 11:51 - A.A.A.: Por la orden ministerial EHA/2899/2011, es decir, al ser una cuenta dónde únicamente se paga la hipoteca no sé tienen que repercutir comisiones 18/6/24, 12:34 - Bbva: Se paga también el seguro 18/6/24, 12:35 - A.A.A.: El seguro de la hipoteca 18/6/24, 12:35 - Bbva: No es obligatorio con nuestra entidad 18/6/24, 12:36 - A.A.A.: Cuando se contrató la hipoteca era requisito 18/6/24, 12:36 - A.A.A.: ***ENTIDAD.1 18/6/24, 12:37 - A.A.A.: Que por cierto la dirección de inmueble era errónea 18/6/24, 12:37 - A.A.A.: La tuvisteis que subsanar 18/6/24, 12:37 - Bbva: No nunca. Soy empleado de ***ENTIDAD.1 y el único requisito era un seguro de incendios pero no obligado con la entidad 18/6/24, 12:37 - Bbva: En cualquier caso esta información conversación deberíamos tenerla con el titular. 18/6/24, 12:38 - Bbva: Un saludo 18/6/24, 12:38 - A.A.A.: Correcto así es 18/6/24, 12:38 - A.A.A.: LOPD” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3/10/2024 como consta en el acuse de recibo que obra en el expediente. En el escrito de traslado de la reclamación, se solicitaba a la parte reclamada la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11      Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. La decisión adoptada a propósito de esta reclamación. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Cualquier otra que considere relevante. Con fecha de 07/10/2024 se solicitó por la parte reclamada una ampliación de plazo de contestación a la anterior solicitud de información, denegándose dicha ampliación de plazo solicitada por acuerdo de la AEPD de 07/10/202. No se recibió en esta Agencia escrito de respuesta por BBVA, al traslado de la reclamación. TERCERO: Con fecha 23/10/2024 de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Es relevante determinar si se consintió por el reclamante la comunicación de sus datos personales a un tercero. Según las manifestaciones de la parte reclamante, la parte reclamada envió a dicho tercero, a través de mensaje de correo electrónico, un certificado de deuda hipotecaria, en el que constaba sus datos, el desglose de la deuda detallado, así como la cuenta del préstamo hipotecario y la cuenta bancaria, lo que le ha provocado un grave perjuicio, ya que el tercero era (…) y no tenía conocimiento de su situación crediticia. Para esclarecer los hechos el 13/11/2024 se envió un requerimiento desde la AEPD a la parte reclamada, BBVA, solicitando la siguiente información:    Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. La decisión adoptada a propósito de esta reclamación. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11   Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Cualquier otra que considere relevante. Con fecha de 25/11/2024 la parte reclamada contestó al anterior requerimiento indicando lo siguiente: “(…) Como consecuencia de los hechos denunciados en la reclamación presentada por Don B.B.B. (en adelante «B.B.B.»), se solicita a BBVA que informe sobre la decisión adoptada con motivo de dicha reclamación. Así pues y, de conformidad con el artículo 37.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»), el 25 de noviembre de 2024, el Servicio de Atención al Cliente (en adelante, el «SAC») comunicó por escrito a B.B.B. la decisión acordada por mi representada con respecto a la reclamación presentada ante esta Agencia. Dichas comunicaciones se enviaron por correo electrónico a la dirección que consta en el traslado de reclamación que nos ha hecho llegar esta Agencia, esto es, «C.C.C.». En consecuencia, mi representada ha cumplido con todas las imposiciones legales previstas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, el «RGPD») en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, dando respuesta a la solicitud efectuada por el Sr. B.B.B.. (…)” “(…) La incidencia que ha dado lugar a la solicitud de información a la que se está dando respuesta se debe, según afirma el Sr. B.B.B., al envío de sus datos personales a una tercera persona sin su consentimiento. Junto con la reclamación, se aporta la comunicación enviada desde el correo electrónico corporativo de un empleado de BBVA a dos direcciones de correo electrónico. Por un lado, la dirección validada por el Sr. B.B.B., esto es «C.C.C.», y, por otro, la dirección de correo electrónico, «***EMAIL.2». En dicha comunicación se envía un documento titulado «(…)». Mi representada considera necesario complementar el relato de los hechos y aportar documentación adicional conforme a la solicitud de información remitida por esta Agencia. Con fecha 7 de junio de 2024, el Sr. B.B.B. se personó en la oficina (…) (en adelante, «la Oficina») con el fin de obtener el certificado de deuda correspondiente al préstamo hipotecario suscrito con BBVA para cancelar el mismo. Desde la oficina se emitió dicho certificado y se le entregó en ese mismo momento. Con posterioridad, al percatarse de la existencia de un error en el certificado, en concreto, en el número de finca registral y en el número del registro de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 propiedad, el Sr. B.B.B. se puso en contacto con el director de oficina (…) para que procediera a emitir otro certificado. Desde la propia oficina (…) se trasladó la incidencia y se emitió otro certificado el 10 de junio. Sin embargo, ese mismo día el Sr. B.B.B. se volvió a poner en contacto con la oficina de BBVA al detectar que el nuevo certificado mantenía el error relativo al número de finca registral, por lo que desde la oficina se solicitó con carácter urgente la emisión de un nuevo certificado. Con fecha 11 de junio de 2024, el Sr. B.B.B. llamó por teléfono a la oficina (…) indicando la urgencia en obtener el certificado pues la compraventa se iba a efectuar el 13 de junio de 2024. A este respecto, el Sr. B.B.B. cursó órdenes para que enviaran el certificado a la siguiente dirección de correo electrónico, «***EMAIL.2». Al indicarle que esto no era posible, pues no era una dirección validada en los sistemas del Banco, el Sr. B.B.B. indicó que se enviaría al director de la oficina la petición a través de dicho correo electrónico copiando la dirección validada por el Sr. B.B.B. en los sistemas de BBVA. (…) El 11 de junio de 2024 a las 10:20 horas, tal y como había informado previamente el Sr. B.B.B., se envió un correo electrónico, desde la dirección de correo electrónico «***EMAIL.2», al director de la oficina de BBVA (…) incluyendo en copia la dirección de correo electrónico validada por el Sr. B.B.B., esto es, «C.C.C.». Quien envía dicha comunicación se presenta como A.A.A., responsable legal de préstamos corporativos o empresariales, indicando que se ponía en contacto en relación al certificado de deuda solicitado por B.B.B. DNI ***NIF.1 y a quien pongo en copia. El día 13 vamos a firmar una cancelación de hipoteca con compraventa en unidad de acto y necesitamos el CERTIFICADO DE DEUDA CERO CORRECTO. También solicita que se pongan en contacto telefónico en el número ***TELÉFONO.1. (…) El director de la oficina contestó a dicha comunicación (en copia el Sr. B.B.B.) a las 11:36 horas indicando que estaba a la espera de una corrección en el certificado. (…) Asimismo, desde el número de teléfono ***TELÉFONO.1, número referenciado en el correo electrónico enviado por la Sra. A.A.A., se contactó con el director de la oficina para pedir información de cuándo se iba a devolver la comisión cobrada por la emisión de los anteriores certificados. (…) Cuatro horas después, a las 14:17 horas, desde la oficina de BBVA se respondió el correo recibido (en copia el Sr. B.B.B.) y se envió el certificado requerido por el Sr. B.B.B.. (…) Como se ha indicado, el Sr. B.B.B. cursó órdenes para que BBVA enviara, de manera urgente, copia del certificado en el hilo del correo electrónico enviado por la Sra. A.A.A. que incluyó, en todo momento, la dirección de correo electrónico del Sr. B.B.B.. Asimismo, entre la solicitud de la Sra. A.A.A., a las 10:20 horas, y la comunicación de mi representada adjuntando el certificado, a las 14:17 horas, medió un lapso temporal de aproximadamente cuatro horas, teniendo ocasión el Sr. B.B.B. de oponerse al envío de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 documentación que él mismo había solicitado, a primera hora de la mañana, que se enviara a la dirección de la Sra. A.A.A.. No hay que olvidar tampoco que la oficina, a las 11:36 horas, contestó al correo electrónico indicando que estaba a la espera de recibir el certificado y el Sr. B.B.B. tampoco se opuso al envío de la documentación. Por otro lado, el Sr. B.B.B. indicó en su escrito de reclamación que la Sra. A.A.A. «no tenía conocimiento de su situación crediticia». Sin embargo, el Sr. B.B.B. autorizó por teléfono al director de la oficina a contestar el email que enviaría posteriormente la Sra. A.A.A. incluyendo la dirección de correo electrónico del Sr. B.B.B.. Por otro lado, la Sra. A.A.A. tenía conocimiento previo del número de DNI del reclamante y de la operación de cancelación hipotecaria que se iba a llevar a cabo puesto que en el correo electrónico enviado indicó que se ponía en contacto en relación al certificado de deuda solicitado por B.B.B. DNI ***NIF.1. También indicó que el día 13 vamos a firmar una cancelación de hipoteca con compraventa en unidad de acto y necesitamos el CERTIFICADO DE DEUDA CERO CORRECTO. De igual forma, el correo electrónico de la Sra. A.A.A. ya había sido utilizado por el Sr. B.B.B. en anteriores comunicaciones con BBVA. En concreto, en fecha 8 de mayo de 2017, con motivo de la reclamación efectuada por el Sr. B.B.B. en relación al préstamo hipotecario que fue referenciado en el certificado mencionado. El reclamante (Sr. B.B.B.) indicó, como dirección de correo a efectos de comunicaciones de la propia reclamación, la dirección de la Sra. A.A.A. «***EMAIL.2».” Junto al anterior escrito de alegaciones, la parte reclamada aporta el 25/11/2024 la siguiente documentación para acreditar sus argumentos:     C/ Jorge Juan, 6 28001 – Madrid DOCUMENTO Nº 1: carta del BBVA fechada el 25/11/2024 dirigida al reclamante, B.B.B., en la que el Servicio de Atención al Cliente comunicó por escrito al reclamante la decisión acordada por el BBVA con respecto a la reclamación presentada ante esta Agencia. DOCUMENTO Nº2: pantallazo Del BBVA que acredita, según la parte reclamada, que B.B.B. había validado en los sistemas de BBVA que su dirección de correo era: «***EMAIL.3». DOCUMENTO Nº 3: copia del correo electrónico enviado el 11/06/2024 a las 10:19 horas desde la dirección de correo electrónico: ***EMAIL.2, a la dirección de correo electrónico: ***EMAIL.1, director comercial del BBVA, con copia a la dirección del correo electrónico del reclamante: ***EMAIL.3, indicando que A.A.A. se ponía en contacto con el BBVA en relación con el certificado de deuda solicitado por B.B.B., porque el día 13 iban a firmar una cancelación de hipoteca con compraventa en unidad de acto y necesitaban el certificado de deuda cero correcto. DOCUMENTO Nº 4: copia del correo electrónico enviado el 11/06/2024 a las 11:36 horas desde la dirección: ***EMAIL.1, a la dirección: ***EMAIL.2, con copia a: ***EMAIL.3, en la que indicaba el director comercial del BBVA que estaba a la espera de la corrección del certificado de deuda cero que había pedido A.A.A.. www.aepd.es sedeaepd.gob.es 7/11    DOCUMENTO Nº 5: copia de la conversación por WhatsApp de 11/06/2024 a las 14:12 horas desde el número de teléfono ***TELÉFONO.1, número referenciado en el correo electrónico enviado por la Sra. A.A.A., con el director comercial de BBVA para pedir información de cuándo se iba a devolver la comisión cobrada por la emisión de los anteriores certificados. DOCUMENTO Nº 6: copia del correo electrónico enviado el 11/06/2024 a las 14:17 horas desde la dirección: ***EMAIL.1, a la dirección: ***EMAIL.2, con copia a: ***EMAIL.3 indicando que se enviaba el certificado requerido por el Sr. B.B.B.. DOCUMENTO Nº 7: copia de una reclamación presentada por el reclamante ante el BBVA el 08/05/2017 en relación con el préstamo hipotecario del que pedía el anterior certificado, en el que el reclamante indicó, como dirección de correo a efectos de comunicaciones de la propia reclamación, la dirección de correo electrónico: ***EMAIL.2. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Integridad y confidencialidad La letra
7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Presunción de inocencia Según hemos visto, BBVA manifiesta que el reclamante autorizó por teléfono al director de su oficina a enviar un certificado referente a una hipoteca, al correo electrónico de A.A.A.. Expone también BBVA que la dirección de correo electrónico de la citada señora ya había sido utilizada previamente por el reclamante para comunicarse con BBVA. Todo ello, en el presente caso, cabe concluir que se plantean dudas razonables acerca de los hechos reclamados y que estos puedan ser atribuibles a la parte reclamada. La Sentencia del Tribunal Supremo de 29 de enero de 1994, recogiendo una línea jurisprudencial consolidada, advierte que "tanto el T.C. (STC de 8.6.81 y 3.10.83, entre otras), como el T.S. (SSTS de 26.4. y 17.7.82) han perfilado una doctrina en materia de derecho sancionador, de la que merecen destacarse como líneas maestras las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 2º.- En materia de Derecho Administrativo sancionador son de aplicación los principios generales del Derecho Penal, coincidentes sustancialmente con los principios esenciales reflejados en el art. 24 CE. en materia de procedimiento, y han de ser aplicables en la medida necesaria para preservar los valores esenciales que se encuentran en la base del precepto y la seguridad jurídica que garantiza el art. 9 CE 3º.- Lógica consecuencia de todo ello es que la presunción de inocencia, proclamada en el párrafo 2º de tal precepto, supone que la carga probatoria de los hechos en que se basa recae sobre la parte que los imputa, y por otra parte, que el principio de tipicidad exige también para su aplicación la plena concordancia de los hechos imputados en las previsiones prácticas aplicables al caso.” Por tanto, para extrapolar al Derecho Administrativo sancionador los principios de la esfera punitiva, ha de exigirse que la conducta infractora reúna los requisitos que en el ámbito Penal se establecen para los delitos y faltas. En consecuencia, la responsabilidad administrativa no puede asentarse en una ausencia de certeza plena sobre los hechos imputados, pues toda sanción ha de apoyarse en una actividad probatoria de cargo o de demostración de la realidad de la infracción que se reprime, sin la cual la represión misma no es posible (Sentencias del Tribunal Constitucional de 11 de marzo de1985, 11 de febrero de 1986, y 21 de mayo de 1987), y, ello, porque al beneficiar la presunción de inocencia al administrado en el ámbito de la potestad sancionadora de la Administración (de conformidad con el artículo 24.2 de la Constitución), ha declarado la Sentencia del Tribunal Constitucional de 8 de marzo de 1985 que dicha presunción no puede entenderse reducida al estricto campo del enjuiciamiento de conductas presuntamente delictivas, sino que debe presidir también la adopción de cualquier resolución o conducta, de las personas de cuya apreciación derive un resultado sancionador o limitativo de sus derechos, comportando el Derecho a la presunción de inocencia que la sanción esté reprochada, que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio, toda vez que el ejercicio del "ius puniendi", según la Sentencia del Tribunal Constitucional de 26 de abril de 1990,está condicionado en sus diversas manifestaciones por el artículo 24.2 de la Constitución al juego de la prueba y a un pronunciamiento contradictorio en el que puedan defenderse las propias posiciones. El principio de Presunción de Inocencia es un Derecho Fundamental reconocido en el artículo 24.2 de la Constitución Española. 2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 Según reiterada Jurisprudencia, la presunción de inocencia exige una valoración de la suficiencia de la prueba de cargo, siendo necesario que el fallo condenatorio se apoye en verdaderos actos de prueba y no en meras especulaciones. Por su parte el principio “in dubio pro reo” en el Ordenamiento Jurídico Español significa que "toda persona es inocente hasta que se demuestre lo contrario", esto significa que si existen dudas acerca de la culpabilidad de una persona, en un delito, los Jueces y Magistrados, deberán declararla inocente o no culpable. No obstante, la Jurisprudencia del Tribunal Supremo indica que el principio “in dubio pro reo”, no tiene carácter orientativo en la valoración de la prueba. Por lo tanto, solo ha de aplicarse cuando no exista seguridad acerca de la culpabilidad del acusado a la vista de las pruebas. Es conocido que el Tribunal Supremo (vid. STS, 2ª, nº 459/2018, de 10 de octubre), modificando su anterior jurisprudencia, entiende que el principio in dubio pro reo forma parte del Derecho a la presunción de inocencia. La presunción de inocencia supondría la exigencia ineludible de concurrencia de prueba de cargo lícita y válida suficiente para dotar de certeza a la tesis acusatoria. Por su parte, el principio in dubio pro reo actuaría en un momento posterior del estadio de la valoración probatoria, una vez superado por la acusación el umbral de la presunción de inocencia del acusado. De alguna forma, la presunción de inocencia haría referencia a la existencia de prueba de cargo objetivamente convincente, mientras que in dubio pro reo se aplicaría a aquellos casos en los que el Tribunal, a pesar de existir esa prueba de cargo objetivamente suficiente para fundar una condena desde la perspectiva de la presunción de inocencia, albergara alguna duda subjetiva sobre la culpabilidad del acusado. En esos casos, se entiende por nuestra Jurisprudencia que, si el Tribunal mantiene sus dudas y su “falta de convicción”, debe, en todo caso, absolver al acusado. Y si a pesar de ello le condena y hay constancia en la Sentencia de esas dubitaciones, la resolución debe ser revocada o casada en vía de recurso. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, y ello por cuanto:  Según la parte reclamada, el reclamante autorizó por teléfono al director de la oficina de BBVA a enviar un certificado referente a una hipoteca al correo electrónico de un tercero, A.A.A., pero no ha resultado acreditada en el expediente dicha conversación telefónica.  Posteriormente, A.A.A. mandó un correo electrónico al BBVA identificándose como “(…)”, indicando que se ponía en contacto con el banco en relación con el certificado de deuda solicitado por el reclamante, B.B.B.. Según acredita la parte reclamada, en dicho correo electrónico, la Sra. A.A.A. demuestra que tiene conocimiento del número de DNI del reclamante, de la solicitud del certificado de deuda y de la operación de cancelación hipotecaria que se firmaría dos días después. En dicho correo, aparece en el apartado CC la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 dirección de correo electrónico del reclamante, por lo que recibió también una copia del mensaje.  La dirección de correo electrónico de A.A.A. ya había sido utilizada previamente por el reclamante para comunicarse con BBVA. En concreto, para que el BBVA le enviara la respuesta a una reclamación presentada por el mismo, alegando la nulidad de la cláusula suelo contenida en su escritura del préstamo hipotecario. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento y de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es