1/4 Expediente Nº: E/01010/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES En el procedimiento E/01010/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SABADELL SA., vista la denuncia presentada por la entidad ENXEÑEIRA E CONSULTORÍA DE MANAGEMENT SA., (en adelante ECEEME) y en virtud de los siguientes, ANTECEDENTES: PRIMERO.- Con fecha de 12 de enero de 2016 tiene entrada en esta Agencia un escrito de ENXEÑEIRIA E CONSULTORIA DE MANAGEMENT SA en el que denuncia al Banco Sabadell, en sus servicios de Banca On-Line, a través de la página web: A.A.A., ya que podría no cumplir con la legislación sobre protección de datos, dado que en las transferencias que se realizan por ese medio, permite recabar datos de los titulares beneficiarios del pago, que pueden ser personas físicas. La empresa ECEEME, al hacer uso de dichos servicios, (transferencias), detecta que la operativa permite grabar los datos de los destinatarios para futuras transferencias. Al inicio de una nueva transferencia a un destinatario ya grabado, el sistema devuelve los datos del mismo, (nombre del beneficiario y número de cuenta), de forma automática. Aporta copia impresa de las pantallas correspondientes a esta operativa obtenidas de la citada página web del banco. El objeto de la denuncia radica en que, según manifiestan, cuando los datos de un beneficiario que han sido grabados, dejan de ser necesarios, el sistema no permite borrarlos, con lo que dichos datos se quedan grabados en el sistema indefinidamente. En la denuncia se aporta copia de un correo electrónico remitido con fecha 01/06/12, por la empresa ECEEME, en el que solicitan información sobre la forma de borrar los datos de un beneficiario incluido en la lista de beneficiarios de transferencias. No se aporta la respuesta del Banco a este requerimiento, en el caso de que hubiera existido. SEGUNDO: Del examen de la documentación presentada por el denunciante y de las actuaciones de inspección practicadas por esta Agencia, a la vista de los hechos denunciados, se desprende lo siguiente: Por parte de la Agencia de Protección de Datos se realizó, con fecha 20 de junio de 2016, inspección en las oficinas del BANCO SABADELL SA., sita en la (C/...1)Barcelona, donde se realizó el acceso a la Banca On-line en la dirección A.A.A., con objeto de comprobar los hechos denunciados. Se accede con el usuario y contraseña de la empresa BANSABADELL CONSUTING S.L., filial del Banco de Sabadell verificando que:
- Una vez identificado el cliente con su usuario y contraseña, puede seleccionar la operación que desea realizar de un menú con diferentes opciones. Se selecciona la opción “transferencia nacional”.
- Se verifica que el sistema permite seleccionar la opción “reutilizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 transferencia anterior”, en cuyo caso se despliega un listado que muestra las últimas transferencias (como máximo las diez últimas) realizadas por ese usuario (cliente) y permite escoger una de ellas, mostrando a continuación los datos de la transferencia elegida.
- También se puede seleccionar la opción “seleccionar beneficiario”, en este caso el sistema muestra un listado de aquellas transferencias que el cliente ha decidido incluir en su lista de beneficiario y con los datos que ha facilitado cuando ha realizado una transferencia anterior.
- Se selecciona la citada opción “seleccionar beneficiario”, verificando que hay dos beneficiarios incluidos para este usuario (cliente), se marca uno de ellos y el sistema devuelve los datos del beneficiario (nombre, número de cuenta, domicilio y población), el usuario tiene que cumplimentar el importe y los detalles del pago.
- Se verifica que en la opción “Todas las Opciones”, “Administración” y dentro de este apartado “Beneficiarios de Transferencias”, se ofrece un menú con las siguientes posibilidades “Alta”, “Baja”, “Modificación y “Copia”.
- Se escoge la opción de “Baja” y pide seleccionar la operación, se pincha en “Transferencias nacionales” y ofrece seleccionar todas o una en concreto. Se seleccionan los datos de uno de los beneficiarios guardados, verificando que el sistema solicita confirmación y en caso de aceptar, permite borrar dichos datos.
- También se realiza una prueba en la opción “Modificar”, verificando que permite modificar los datos que el cliente ha guardado de un beneficiario de transferencias. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 4 de la LOPD indica que: “
- Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.
- Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.
- Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.
- Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 el artículo
- Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos.
- Los datos de carácter personal serán almacenados de forma que permitan el ejercicio del derecho de acceso, salvo que sean legalmente cancelados.
- Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos”. III En el caso que nos ocupa, la empresa ECEEME, al hacer uso de los servicios de Banca On-line del Banco Sabadell SA, a través de su página web A.A.A., denuncia que no tiene opción de borrar los registros (nombre del beneficiario y número de cuenta), de los destinatarios de las transferencias que han grabado para un uso posterior. Denuncian también que, puestos en contacto varias veces con el Banco, reciben respuestas no satisfactorias para proceder al borrado de dichos registros, por lo que todo ello, podría incumplir la legislación vigente en materia de protección de datos, En la inspección realizada por la Agencia de Protección de Datos, el día 20 de junio de 2016, en la sede del Banco, se comprueba como en su página web A.A.A., existe la opción: “Todas las Opciones” -> “Administración” -> “Beneficiarios de Transferencias”, donde se ofrece un menú con las posibilidades de “Alta”, “Baja”, “Modificación y “Copia”, y donde el sistema permite borrar los registros deseados. Por ello, no puede imputarse infracción alguna a la entidad denunciada ya que, conforme a los hechos descritos anteriormente, el sistema si permite: “dar de alta, modificar y dar de baja” los datos de un registro. Por lo tanto, a la vista de la documentación obrante en el expediente y en el Informe de actuaciones previas, así como de las circunstancias concurrentes en el presente supuesto, debe procederse al archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- PROCEDER AL ARCHIVO de las presentes actuaciones. 2.- NOTIFICAR la presente Resolución a la entidad ENXEÑEIRA E CONSULTORÍA DE MANAGEMENT SA a la entidad BANCO SABADELL SA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, el Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es