1/5 Expediente Nº: E/01114/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO SANTANDER, S.A.. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 26 de diciembre de 2012 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que: • Al ir a realizar, en una oficina del Banco de Santander, una transferencia a su hija por importe de 3.800 euros se le pidió identificación, ante lo cual presentó su DNI. • Al intentar el Cajero hacer una fotocopia del mismo, se negó, por no haberle informado con anterioridad, de ninguna manera, de ese tratamiento, tal cual prevé el art. 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. • Presentó hoja de reclamaciones, recibiendo una carta del Director de Calidad del Banco, informando de la obligación del Banco a cumplir los requisitos legales de ese tipo de operaciones identificando a las personas que las realizan, recabando copia del DNI que se grapa con el ingreso realizado. • No es cliente del mencionado banco. En la reclamación interpuesta ante el Banco, cuya copia aporta, se pormenoriza lo sucedido en la oficina, indicando que se le ofreció la opción de realizar dos transferencias por importes menores de 3.000 euros, en lugar de una de importe superior, sin recabarle fotocopia de su DNI. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha solicitado a BANCO SANTANDER, SA (en adelante el BANCO) información sobre la habilitación legal del BANCO para el tratamiento de los datos de personas como el denunciante que, sin ser clientes de la entidad, les es solicitada fotocopia del DNI para realizar un ingreso superior a 3.000 euros en cuenta de un cliente. Los representantes de la entidad han manifestado lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 “La habilitación al Banco deriva de la normativa relativa a la prevención de Blanqueo de dinero y, en concreto, de lo siguiente: La obligación de identificar a cuantas personas físicas o jurídicas pretendan establecer relaciones de negocio o intervenir en cualesquiera operaciones viene determinado por el artículo 3 (Identificación formal), de la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo. La obligación de obtener fotocopia de los documentos viene determinado por el artículo 25 (Conservación de documentos), de la referida Ley 10/2010, en el que se establece que se deberán conservar durante un periodo mínimo de 10 años copia de los documentos exigibles en aplicación de las medidas de diligencia debida (entre ellas la obligación de identificación del artículo 3). La obligación de identificar mediante el Documento Nacional de Identidad viene determinado por el artículo 3 (identificación de los clientes) del RD 925/1995, que es el Reglamento de la Ley 19/1993, que es de aplicación en tanto no se desarrolle reglamentariamente la Ley 10/2010, que dice que cuando el cliente sea persona física deberá presentar Documento Nacional de Identidad, permiso de residencia expedido por el Ministerio del Interior, pasaporte o documento de identificación valido en el país de procedencia que incorpore fotografía de su titular (..) El importe a partir del cual se debe identificar a las personas que intervengan en cualesquiera operaciones viene determinado por el artículo 4 (Excepciones a la obligación de identificar) del referido RD 925/1995. En el apartado 2, letra
- a)se indica que la obligación de identificar en todo caso quedará exceptuada cuando se trate de operaciones con clientes no habituales cuyo importe no supere los 3000 euros o su contravalor en divida. Es decir por importe que supere los 3.000 euros la identificación está obligada. La Ley 10/2010, en su régimen sancionador establece en su artículo 52 que son infracciones graves:
- a)El incumplimiento de obligaciones de identificación formal, en los términos del artículo 3;
- b)El incumplimiento de la obligación de conservación de documentos, en los términos del artículo 25.” Sobre el procedimiento de recogida de datos seguido por la entidad tanto en los ingresos superiores a 3.000 euros como en inferiores a dicha cantidad y los tratamientos efectuados sobre los datos del DNI de la persona que realiza el ingreso, los representantes de la entidad han manifestado que : “La documentación fotocopiada queda grapada con la boleta de ingreso y se guarda en el sobre del día de la oficina a electos de acreditar ante el Supervisor o, en su caso, la autoridad de prevención el cumplimiento de las exigencias legales. Con independencia de ello resulta preceptivo informar de las operaciones superiores a 3000 euros a la Agencia Tributaría conforme a la Orden EH A/98/2010, de 25 de enero.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 5 de la LOPD recoge, en cuanto al derecho de iinformación en la recogida de datos, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” III El denunciante manifiesta que en una oficina del Banco Santander no le informaron correctamente conforme a lo establecido el artículo 5.1 de la LOPD del motivo por el cual querían hacerle una fotocopia de su DNI al ir a realizar una transferencia a su hija por importe de 3.800 euros. Sobre este aspecto cabe mencionar que la solicitud de fotocopia del DNI deriva de la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo, como medida adecuada y obligatoria para acreditar la identidad de aquellas personas que intervengan en operaciones cuyo importe supere los 3.000 euros, como en el caso que nos ocupa. La obligación de obtener fotocopia de los documentos vine determinada por el art. 25 de la mencionada Ley, que recoge que se deberán conservar durante un periodo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 mínimo de 10 años copia de los documentos exigibles. Junto a ello, señalar que esta Agencia ha analizado las cuestiones relacionadas con la prohibición de revelación establecida en las normas de prevención de blanqueo de capitales y el modo en el que la misma afecta a las obligaciones inicialmente derivadas de la legislación de protección de datos de carácter personal. En relación con esta cuestión, debe hacerse referencia al informe 86252/2009 de fecha 3 de abril de 2009 elaborado por el gabinete jurídico de esta Agencia, que a su vez hace referencia al informe de 1 de agosto de 2005, emitido en respuesta a una consulta formulada por un sujeto obligado en relación con la aplicación de la Ley 12/2003, de 21 de mayo, de prevención y bloqueo de la financiación del terrorismo ( actual Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo), cuyas conclusiones son igualmente aplicables al supuesto analizado en el presente momento. Dicho informe señalaba lo siguiente: “En cuanto al cumplimiento del deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999, así como en relación con el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, el artículo 4.1
- g)de la Ley 12/2003 dispone que las entidades obligadas están sometidas al deber de "No revelar ni al cliente ni a terceros que se ha transmitido información a la Comisión de Vigilancia con arreglo a lo dispuesto en los párrafos b),
- d)y
- e)anteriores, o que se está examinando alguna operación en los términos del párrafo c)" Esta Agencia ha venido indicando que esta prohibición legal eximirá a los sujetos obligados de dar cumplimiento al deber previsto en el artículo 5 de la Ley Orgánica 15/1999 en relación con el tratamiento y la comunicación efectuados al amparo de lo dispuesto en la Ley 12/2003. Del mismo modo, la prohibición establecida en dicha norma impediría a las personas o entidades obligadas atender las solicitudes de ejercicio por los afectados de los derechos de acceso, rectificación, cancelación y oposición, previstos en la Ley Orgánica 15/1999. En este sentido, recuerda el Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre, tras reconocer la existencia de un derecho fundamental y autónomo a la protección de datos de carácter personal, que "la Constitución ha querido que la Ley, y sólo la Ley, pueda fijar los límites a un derecho fundamental. Los derechos fundamentales pueden ceder, desde luego, ante bienes, e incluso intereses constitucionalmente relevantes, siempre que el recorte que experimenten sea necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido esencial del derecho fundamental restringido". En el presente supuesto, la restricción expresamente impuesta por el legislador a la posibilidad de revelación del estudio y comunicación de las operaciones a las que se refiere el artículo 4 de la Ley 12/2003 implicará una limitación al haz de derechos y facultades impuesto por la Ley Orgánica 15/1999 que cumplirá lo dispuesto en la doctrina constitucional citada, respetándose lo dispuesto en la Ley Orgánica 15/1999 y el propio derecho fundamental. Por este motivo, no será preciso dar cumplimiento en este supuesto al deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999 ni otorgar al interesado el ejercicio de los derechos de acceso, rectificación, cancelación y oposición en relación con los ficheros creados en cumplimiento de lo dispuesto en la Ley 12/2003, de modo que cabrá rechazar las pretensiones ejercitadas en este sentido, invocándose, a fin de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 justificar la denegación, lo dispuesto en el artículo 4.1
- g)de la Ley 12/2003." En vista a lo anterior podemos concluir que nos encontramos ante una medida que es adecuada para acreditar la identidad la identidad del denunciante con motivo de la realización de una operación superior a 3.000 euros, obligatoria por imperativo legal, y sin necesidad de dar cumplimiento para su ejecución del deber de información recogido en el art. 5 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.PROCEDER AL ARCHIVO de las presentes actuaciones. 2.NOTIFICAR la presente Resolución a BANCO SANTANDER, S.A.. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es