1/5 Expediente Nº: E/01954/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DEUTSCHE BANK SAE en virtud de denuncia presentada por D. G.G.G. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de enero de 2014, tuvo entrada en esta Agencia escrito de D. G.G.G. (en lo sucesivo el denunciante) en el que denuncia que, en Noviembre de 2014 recibió un extracto de una cuenta de valores que no había contratado. Comunicó la incidencia al banco y solicitó que cancelaran los datos asociados a la cuenta. En enero de 2014 recibió nuevamente correspondencia bancaria relativa a la cuenta que no había contratado. Remitió un escrito al banco y le respondieron que se trataba de un error y que no tiene cuenta con la entidad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: “Los representantes de Deuche Bank aportan un Documento de Solicitud de Apertura de la Cuenta número ***CTA.1 en la Oficina 27 de Deustche Bank y Muestra de firmas, suscrita por el Afectado, F.F.F., y Doña A.A.A., con fecha 14 de mayo de
- También adjuntan Copia del Documento Nacional de Identidad del Afectado. Todos los productos que en su día fueron contratados a nombre del Afectado, y que en la actualidad se encuentran cancelados son los siguientes: CV (Cuenta Vista) C.C.C.EST (estado) C (cancelado) TJ (Tarjeta) E.E.E. EST (estado) C (cancelado) VL (Valores) D.D.D.EST (estado) C (cancelado) VL (Valores) B.B.B.EST (estado) C (cancelado) La fecha de alta y baja del contrato de Cuenta Vista (CV) es respectivamente, el 15 de diciembre de 1985 y 27 de octubre de
- La fecha de baja de Tarjeta (TJ) es el 4 de noviembre de
- La fecha de baja del contrato de Valores (VL) D.D.D., es 18 de noviembre de
- La fecha de baja del contrato de Valores (VL) B.B.B., es 18 de noviembre de
- En relación con el motivo por el que se remitió al domicilio del afectado la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 documentación bancaria relativa a la cuenta B.B.B., los representantes de la entidad manifiestan que fue por un error interno padecido en la digitación de la cuenta de valores y su asignación errónea a la cuenta de valores número ***CTA.2 a nombre del Afectado, en lugar de la cuenta que efectivamente debía de recibir el movimiento, esto es, la número ***CTA.3, titularidad de otra persona. Este error provocó que, a su vez, el sistema generara un extracto informativo con el movimiento efectuado y se enviara al Afectado, Una vez personado el Afectado en la oficina en noviembre de 2013 y puesto de manifiesto el error, se procedió a retroceder los títulos asignados y a comunicarlo a la oficina para, a su vez, informar al Afectado de la regularización efectuada. A nivel interno, Deutsche Bank procedió a solventar en el sistema informático la anomalía reportada, que había permitido la contabilización de movimientos en una cuenta previamente cancelada, encontrándose a la fecha plenamente operativa esta mejora. Con la finalidad de evitar futuros errores en la asignación de este tipo de movimientos, desde de principios de este año, la digitación de las cuentas de valores y el movimiento a asignar cuentan con un control reforzado, teniendo que ser visadas por una persona diferente a la que está introduciendo la información en la transacción para su completa ejecución.” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En primer lugar, en relación con el tratamiento de los datos del denunciante debemos indicar que, el artículo 6.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) dispone que: ”
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personal. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” En el caso que nos ocupa, en el marco de las actuaciones de investigación llevadas a cabo por esta Agencia se ha constatado que, el denunciante fue cliente de DEUTSCHE BANK SAE. En concreto, la citada entidad ha aportado a esta Agencia copia del DNI del denunciante así como un documento de solicitud de apertura de una cuenta y muestra de firmas suscrita por el denunciante y por Dña. A.A.A., con fecha 14 de mayo de
- Asimismo DEUTSCHE BANK SAE ha aportado impresiones de pantalla en las que figura el historial de todos los productos contratados por el denunciante (contrato de cuenta visa, tarjeta y dos contratos de valores). Todos estos productos se encuentran cancelados en la actualidad. Sobre la base de lo expuesto debemos concluir que, el denunciante contrató diversos productos con la entidad denunciada, DEUTSCHE BANK SAE, facilitando sus datos en el marco de la contratación efectuada. Por tanto, los datos del denunciante obran en poder de DEUTSCHE BANK SAE, en la medida en que fueron facilitados por éste, al haber sido cliente de dicha entidad, lo que justifica el tratamiento de sus datos personales de conformidad con lo establecido en el citado artículo 6 de la LOPD. III Por otro lado, en relación con el envío de información relativa a la cuenta de valores de un tercero debemos señalar que, el artículo 10 de la LOPD, establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 El deber de secreto (profesional) que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la Sentencia del Tribunal Constitucional 292/2000 y, por lo que ahora interesa, motiva que los datos personales no puedan ser conocidos por ninguna persona o entidad ajena, fuera de los casos autorizados por la Ley. El deber de guardar secreto (profesional) que incumbe a los responsables de ficheros y a quienes intervienen en cualquier fase del tratamiento incluye el deber de guardarlos, y se contempla como obligación que subsistirá aún después de finalizar las relaciones con el responsable del fichero. En el presente caso, en el transcurso de las actuaciones de inspección llevadas a cabo por esta Agencia, DEUTCHE BANK SAE ha manifestado que la remisión al domicilio del denunciante, de información bancaria relativa a una cuenta de valores de un tercero, se debió a un error interno en la digitación de la cuenta de valores, lo que a su vez provocó que el sistema generara un extracto informativo con el movimiento efectuado y se enviara al afectado. Tras tener conocimiento del error acaecido, DEUTCHE BANK SAE procedió a la subsanación del mismo, a través de la retrocesión de los títulos asignados al denunciante (se ha aportado a esta Agencia la documentación justificativa al respecto), así como también se procedió a solventar en el sistema informático de dicha entidad, la anomalía que permitió la contabilización de movimientos en una cuenta previamente cancelada, habiéndose mejorado y reforzado el control para este tipo de operaciones. Sobre la base lo expuesto debemos concluir que, en el caso que nos ocupa, la entidad DEUTCHE BANK SAE envió por error al domicilio del denunciante documentación bancaria relativa a la cuenta de valores de un tercero, que no queda en ningún momento identificado, atribuyéndose indebidamente un extracto de cuenta de valores, sin que por ello pueda apreciarse un incumplimiento del deber de secreto establecido en el artículo 10 de la LOPD. IV Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a DEUTSCHE BANK SAE y a D. G.G.G.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es