1/4 Procedimiento Nº: E/02252/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante BANCO SANTANDER, S.A., en virtud de reclamación presentada por D. A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes. HECHOS: PRIMERO: La reclamación interpuesta por el reclamante tiene entrada el 17 de abril de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Banco Santander, S.A., con NIF A39000013 (en adelante, la reclamada), basa su reclamación, en que fue empleado del banco y cuando se prejubiló en diciembre del año 2002, la reclamada le compensaban por las cuotas que pagaba por convenio especial a la Seguridad Social, efectuando el reembolso en una cuenta abierta en la citada entidad. Posteriormente, en el año 2005 el reclamante efectuó una novación del referido convenio especial. Como consecuencia de esto último la reclamada continúo con el reembolso de las cuotas, pero tomando como base el convenio general, mientras que por parte del reclamante se procedía al pago de las nuevas cuotas. Ahora bien, resulta que en los Certificados de Retenciones e Ingresos a Cuenta del Impuesto sobre la renta de las personas físicas correspondientes a los ejercicios 2014, 2015 y 2016, se reflejaba en el apartado de Cuotas de la Seguridad Social una cantidad que no se corresponde con el importe reembolsado en el año por la reclamada, sino a la cantidad pagada por el reclamante. De aquí que el banco accedió a su cuenta sin su consentimiento para obtener la información sobre estos pagos a la Seguridad Social. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Banco Santander, manifiesta en su escrito de fecha 12 de julio de 2018 que ellos reembolsan a los empleados prejubilados el gasto que les supone el pago de la cuota del convenio especial que haya celebrado con la Seguridad Social (adelante, SS), según se fija en los acuerdos de prejubilación. Desde el 1 de enero de 2003, el reclamante ha estado en situación de prejubilación, pasando a la situación de jubilación el 20 de noviembre de
- Pero es desde su prejubilación en el año 2003 y hasta el año 2017, en que el reclamante modificó su aportación a la Seguridad Social, esto es durante 14 años, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 manifestó su deseo de seguir otro procedimiento alternativo, no puede sino considerarse que aceptó aquella forma de obtener información de tales cotizaciones, cobrando durante todos esos años las cantidades que el banco le reembolsaba en base a la información así obtenida sin objeción alguna por su parte. En el año 2017, al no estar conforme con el criterio del banco, que resultaba de las condiciones convenidas, de compensar al reclamante por los importes realmente satisfechos a la SS, el interesado trasladó su cuenta a otra entidad bancaria por lo que dejó de aplicarse aquel procedimiento y el banco, a falta de acreditarse que los adeudos en cuenta por la cotización a la Seguridad Social tuvieran distinto importe, sigue efectuado la compensación por el correspondiente a aquella cantidad reducida que el reclamante había convenido con la SS. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Con carácter previo al análisis de la adecuación la normativa de protección de datos de carácter personal es preciso abordar el elemento temporal en el que suceden los hechos objeto de investigación. El último tratamiento realizado objeto de la reclamación es del año
- El RGPD establece en su artículo 99 bajo la rúbrica “Entrada en vigor y aplicación “lo siguiente:
- El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
- Será aplicable a partir del 25 de mayo de
- Por lo tanto, los hechos que motivan el inicio de las presentes actuaciones de investigación y por tanto el objeto de análisis en el presente procedimiento se producen antes de la plena aplicación del RGPD y por tanto la adecuación a la normativa aplicable debe referenciarse respecto de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD en lo sucesivo). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 III El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, tras la documentación aportada, se constata que desde la prejubilación del reclamante en el año 2003 y hasta el año 2017, en que modificó la aportación a la Seguridad Social, esto es durante 14 años, aceptó aquella forma de obtener información de tales cotizaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Todo ello revela que concurre una modalidad de consentimiento que legítima el tratamiento de los datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO SANTANDER, S.A. y a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es