E-00001-2015

1/9 Expediente Nº: E/00001/2015  RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO DE SABADELL, S.A., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 29/10/2014 tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que el BANCO DE SABADELL, S.A., (en lo sucesivo, la denunciada o BANCO SABADELL), sin recabar su consentimiento, ha abierto una cuenta bancaria a su nombre, le ha dado de alta en el servicio de Banca telefónica y le ha enviado publicidad de la entidad por vía postal. Detalla en su denuncia que, en enero de 2014, en la oficina del BANCO SABADELL número *****1 de ***LOCALIDAD.1 (Huesca), se inició el estudio de viabilidad de un préstamo hipotecario para la compra de una vivienda, para lo cual la denunciada le solicitó tanto a usted como a su esposa la copia del DNI, la nómina, la última declaración del IRPF etc. Pese a que el préstamo no llegó a formalizarse, pues finalmente no adquirieron la vivienda, usted afirma que ha estado recibiendo comunicaciones publicitarias remitidas por el BANCO SABADELL a su nombre. Añade que el Director de la oficina *****1 de la entidad denunciada le informó el 05/05/2014 “que es la práctica habitual del Banco el abrir cuentas bancarias (aunque el cliente no se lo pida ni tampoco le informen de este punto) en el Banco Sabadell al pedir el estudio de una hipoteca”. Expone que, si bien “el Director de la sucursal *****1 afirmó que procedía a dar de baja inmediatamente todo mi historial”, al continuar recibiendo cartas publicitarias a su nombre, el 06/06/2014 solicitó en otra oficina de la entidad bancaria un extracto de los movimientos, comprobando que la cuenta continuaba abierta a su nombre. Aporta con su denuncia los siguientes documentos: Copia del escrito de reclamación que presentó el 05/06/2014 en una sucursal del BANCO SABADELL. Copia de una carta –sin fecha- que el BANCO SABADELL le remitió en respuesta a una de sus reclamaciones. Copia de dos extractos del BANCO SABADELL, de fechas 05/05/2014 y 06/06/2014, expedidos respectivamente por las Oficina *****2 de Madrid y (…) de Pinto con el siguiente texto (idénticos entre sí): C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/9 “Detalle de contratos. Los contratos detallados a continuación corresponden a las relaciones de titularidad, nudo propietario, tomador y/o partícipe (…) ***NIF.1 A.A.A..” Bajo la rúbrica “Número de cuenta/contrato” consta lo siguiente: “Titularidad: A.A.A. y B.B.B. ***CCC.1 Cuenta relación”. Como “Saldo / importe” figura “0,00”. En los documentos se alude también a la existencia de un servicio de Banca a Distancia del que es titular el denunciante con el número “*********1”. Finalmente adjunta copia de la publicidad postal que el BANCO SABADELL le remitió tanto a su nombre como al de su esposa que versa sobre la concesión de un préstamo en condiciones ventajosas, escrito que no lleva fecha. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos que se denuncian teniendo conocimiento de los siguientes extremos reflejados en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 29 de septiembre de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: HECHOS DENUNCIADOS: Que, en el año 2014, inició una gestión en el Banco de Sabadell (oficina *****1 de ***LOCALIDAD.1, Huesca), para la adquisición de un inueble, para lo cual facilitó sus datos personales y los de su esposa, la copia de su D.N.I., nominas etc… Finalmente, no se llegó a realizar la operación, no obstante, empezó a recibir en su domicilio varios escritos del Banco, en el que no había contratado ningún servicio. Al solicitar información en el Banco, le informan de que se ha realizado la apertura de una cuenta corriente a su nombre, ya que es la práctica habitual cuando se inician los trámites de solicitud de hipoteca. DOCUMENTACION APORTADA: Copia impresa de los productos que figuran contratados en fecha 6 de junio de 2014, a su nombre en el BANCO DE SABADELL: Cuenta corriente a su nombre y al de su esposa y Banca a distancia. Copia parcial de la reclamación interpuesta ante la entidad bancaria de fecha 5 de junio de 2014. Copia de la contestación de la entidad bancaria a su reclamación, en la que le informan de que “a raíz de las gestiones para la concesión de financiación que usted solicitaba, de forma provisional y únicamente para los trámites de estudio de su solicitud, se tramitó la apertura de una cuenta que no llegó a estar operativa. Y en todo caso, si le fue remitida alguna documentación únicamente puede ser debido a un error operativo puntual.” C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/9 Copia de un escrito publicitario de Banco de Sabadell, recibido por el denunciante y por su esposa. (no consta la fecha). ACTUACIONES PREVIAS Con fecha 7 de abril de 2015, BANCO DE SABADELL S.A., ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Aportan copia impresa de los datos que figuran en sus ficheros relativos al denunciante, aunque según manifiestan, dichos datos se encuentran bloqueados. 2. El denunciante se interesó en la compra de una vivienda hipotecada a favor del banco de Sabadell, solicitando subrogarse en la citada hipoteca. A tal efecto, se le solicitaron los datos de las personas que deberían ser titulares del préstamo y ostentar la titularidad de la cuenta que debía abrirse para tramitar la solicitud. Mediante correo electrónico de fecha 30 de enero de 2014, el denunciante facilitó sus datos y los de su esposa 3. Por lo tanto se procedió a la apertura de dicha cuenta, así como a disponer el interesado de firma por banca a distancia de la misma. 4. Con posterioridad, el denunciante desistió de la compra, cancelándose la referida cuenta, sin que llegaran a formalizarse los correspondientes contratos. 5. Aportan copia del correo electrónico de fecha 30 de enero de 2014, remitido desde el Banco de Sabadell al denunciante en el que le solicitan “los N.I.F. de las personas a las que les tengo que hacer el préstamo y que serán titulares de la cuenta”. 6. Así mismo, aportan copia de la contestación del denunciante al correo citado en el punto anterior, de la misma fecha, en el que facilita los nombres y apellidos y D.N.I. tanto cuyo como de su esposa e indica “casados en separación de bienes, compraríamos al 50% la casa”. 7. Respecto a la documentación que pueda acreditar que el denunciante prestó su consentimiento para la recepción de información publicitaria de la compañía, por parte de BANCO DE SABADELL no se ha dado respuesta a esta cuestión.>> FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/9 Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD proclama en su artículo 6, bajo la rúbrica “Consentimiento del afectado”, el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. (El subrayado es de la AEPD) El precepto trascrito debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “ “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos y alude a la necesidad de contar con el consentimiento inequívoco del afectado para que el tratamiento de sus datos sea ajustado a Derecho. Conforme al citado precepto el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de ese derecho pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/9 personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)”.Son, pues, elementos característicos del derecho fundamental que nos ocupa las facultades del afectado de consentir la recogida y el uso de sus datos personales y a saber de los mismos. III La denuncia que nos ocupa versa sobre el presunto tratamiento de los datos personales del denunciante efectuado por el BANCO SABADELL sin su consentimiento. Tratamiento materializado en haber dado de alta, asociada a sus datos personales, una cuenta bancaria y el servicio de Banca telefónica, así como en el envío a su domicilio de publicidad postal. Como revela la documentación que obra en el expediente, el denunciante ha reconocido que en enero de 2014 la sucursal *****1 del BANCO SABADELL, a petición suya, hizo un estudio de viabilidad de la concesión de un préstamo hipotecario para la adquisición de una vivienda y que con ese motivo le facilitó copias del DNI, de la declaración del IRPF y de las nóminas suyas y de su esposa. Paralelamente, en respuesta al requerimiento informativo de la Inspección de la AEPD, el BANCO SABADELL ha ofrecido la siguiente versión de los hechos: Que el denunciante “se interesó por la compra de una vivienda hipotecada a favor de esta entidad, solicitando subrogarse en la referida hipoteca. A tal efecto se le solicitó los datos de las personas que deberán subrogarse en el préstamo y ostentar la titularidad de la cuenta que debía aperturarse a los efectos de poder tramitar la referida solicitud. A tal efecto mediante correo electrónico de fecha 30 de enero de 2014 el Sr. A.A.A. facilitó sus datos y los de su esposa a los indicados efectos. Se adjunta copia de dicho correo.” (El subrayado es de la AEPD) Y finalmente la denunciada añade: “En consecuencia, se procedió a la apertura de dicha cuenta, así como la disponibilidad de firma por banca a distancia, a los efectos indicados”. La entidad denunciada ha remitido a la AEPD copia de los correos electrónicos intercambiados el 30/01/2014 con el denunciante. Obra en el expediente copia de un mail enviado en esa fecha, a las 9:31 horas, desde la dirección ....@.... a ....1@.... en el que consta como “Asunto: Re: BANCO SABADELL” y el siguiente texto: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/9 “A.A.A, se me olvidó pedirte lo más básico. Los nif de las personas a las que tengo que hacer el préstamo y que serán titulares de la cuenta”. (El subrayado es de la AEPD). El mail de respuesta, enviado esa misma fecha a las 12:48 horas desde la dirección ....1@.... a ....@.... tiene el siguiente texto: “Hola (…). Aquí tienes los datos. A.A.A. DNI ***NIF.1 B.B.B. DNI ***NIF.2. Casados en separación de bienes compramos al 50% la casa” Las manifestaciones vertidas en los correos electrónicos reproducidos denotan que el denunciante prestó su consentimiento “inequívoco” al tratamiento de sus datos personales (nombre, apellidos y número de DNI) por parte de la entidad vinculado a la operación hipotecaria. A ello hay que añadir que, como reconoce en su escrito de denuncia, facilitó a la oficina *****1 del BANCO SABADELL copia de su DNI, de la declaración de IRPF y de la nómina. Conforme al artículo 6 de la LOPD la única condición que debe reunir el consentimiento para que el tratamiento de los datos sea ajustado a Derecho es que éste sea “inequívoco”. Cabe mencionar en tal sentido la Sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 21/11/2007 (Rec. 356/2006) que “por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. (El subrayado es de la AEPD) Resulta acreditado, por tanto, que el denunciante facilitó voluntariamente sus datos personales a la entidad financiera denunciada - BANCO SABADELL- en el marco de una operación en la que se estudiaba la viabilidad de la concesión de un préstamo hipotecario (operación que finalmente no se llevó a cabo) y que también, y como mínimo, fue informado de que las personas a las que se les hiciera el préstamo “serán titulares de la cuenta”. Nos remitimos sobre este particular al correo electrónico de 30/01/2014 enviado por el BANCO SABADELL al denunciante que ha sido reproducido. El denunciante cuestiona en su denuncia que el consentimiento prestado al tratamiento de sus datos en el contexto del estudio sobre la viabilidad de la concesión C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/9 de un préstamo hipotecario pueda hacerse extensivo a la apertura de una cuenta bancaria a su nombre y al alta en el servicio de banca telefónica, actos para los que, afirma, no había otorgado el consentimiento. Llegados a este punto es preciso traer a colación la SAN de 28/10/2010 (Rec 850/2009) que analizó un supuesto análogo al que aquí se plantea, en el que el denunciante había facilitado a BANKINTER sus datos personales mediante un formulario en el que solicitaba financiación hipotecaria para la compra de primera vivienda pero los datos fueron utilizados por BANKINTER para la apertura de una cuenta bancaria a su nombre sin que él hubiera consentido previamente la apertura de tal cuenta mediante la formalización del correspondiente contrato. En la resolución sancionadora que la AEPD dictó quedó acreditado que esa entidad financiera conocía que el contrató no llegó a formalizarse con el cliente –pues las conversaciones no llegaron a buen puerto- pese a lo cual registró en sus Sistemas el alta de la cuenta bancaria asociada al denunciante como titular, cargó en ella el importe de la tasación de la vivienda que iba a ser hipotecada y reclamó el saldo deudor resultante al denunciante. La SAN precitada estimó el recurso contencioso administrativo en el que se impugnaba la resolución dictada por la AEPD, que había sancionado a BANKINTER por infracción del artículo 6 de la LOPD. La SAN, que anuló la resolución de la AEPD dejando sin efecto la sanción impuesta, razona en su Fundamento Jurídico Cuarto: <<No puede compartirse el argumento de la resolución recurrida que parece vincular el consentimiento prestado a una muy concreta finalidad (la apertura de cuenta corriente) a diferencia de otra finalidad diferente como sería la entrega de los datos para la tramitación de una hipoteca. La concertación de una hipoteca conlleva obviamente, la necesidad de apertura de una cuenta corriente, la necesidad de tasación y la realización de otras actuaciones semejantes todas ellas relativas al ámbito bancario que no pueden exigir consentimientos diferenciados. El artículo 4 de la LOPD en sus dos primeros apartados establece el principio de calidad del dato en relación a la finalidad para el tratamiento de los datos y establece que: 1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para que los datos hubiera C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/9 sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. En este caso debe concluirse que consta prestado el consentimiento y no puede entenderse que se haya realizado una utilización para fines diferentes de los autorizados. Esta Sala ha tratado diversos asuntos de aperturas de cuenta corriente sin consentimiento de los titulares (Recursos 785/2003 o 937/2003) en los que se insistió en la necesidad del consentimiento para la apertura de las cuentas y se confirmaron las resoluciones sancionadoras pues los bancos habían actuado sin garantizar el consentimiento del cliente. En el caso presente, sin embargo, resulta que existía un consentimiento muy detallado para el tratamiento de toda clase de datos del denunciante (..) y aunque formalmente, no consta la firma en el documento de apertura de cuenta corriente que está claramente vinculado a la citada operación hipotecaria. Esta Sala considera que se debe entender prestado un consentimiento inequívoco para el tratamiento realizado que estaba claramente vinculado a la finalidad acordada y consentida, reproduciendo de este modo el criterio otra sentencia como la dictada en el recurso 355/2008 en que también entendimos que, del resto de elementos probatorios concurrentes, concurría el necesario consentimiento y no se justificaba la imposición de la sanción>> (El subrayado es de la AEPD) Los argumentos ofrecidos por la Audiencia Nacional en la Sentencia aludida (de 28/10/2010, Rec 850/2009) son extrapolables al asunto que se somete a la valoración de este organismo y, a la luz de éstos, debe concluirse que toda vez que en el presente caso está acreditado que el denunciante prestó el consentimiento al tratamiento de sus datos para una operación hipotecaria ese consentimiento es extensivo a la apertura de una cuenta bancaria a su nombre y a la disponibilidad de la cuenta a través de la Banca telefónica, pues estaban claramente vinculados a la operación hipotecaria que la entidad gestionaba tal y como él había solicitado. Así pues, trasladando las reflexiones precedentes a los hechos que se denuncian no se aprecia en ellos infracción de la normativa de protección de datos debiendo acordar el archivo de las actuaciones de investigación previa practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al BANCO DE SABADELL S.A. y a D. A.A.A.. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos, sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD) y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es