E-02349-2019

1/16 Expediente Nº: E/02349/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad NOVO BANCO SA- SUCURSAL EN ESPAÑA-- en virtud de DENUNCIA presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17/04/2018 tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante) por medio de la cual traslada lo siguiente: “El 08/03/18 recibí comunicación por correo postal (se adjunta copia como Doc. nº1) de la Empresa Novo Banco Gestión SGIIC (en lo sucesivo denunciado 1) con información sobre un fondo de inversión (en lo sucesivo FI). Como nunca he tenido relación con esta empresa, ni le he facilitado mis datos de carácter personal, al día siguiente ejercí el derecho de acceso (copia como Doc. nº 2) a fin de conocer el origen de los datos, así como que me aportaran justificante documental del consentimiento para el tratamiento de los datos y justificante de haberme informado de los derechos establecidos en el artículo 5, recibiendo la contestación el día 15-03-18 (copia como Documento nº 3). De la contestación aportada se desprende que los datos de los que dispone el denunciado 1 fueron cedidos el día 29/08/2017 por la empresa Novo Banco S.A (en lo sucesivo denunciado 2) sin haber obtenido previamente el consentimiento para dicha cesión y, además sin haber atendido debidamente el derecho de cancelación de datos que en su día se ejercitó” A requerimiento del denunciante, para que acreditara documentalmente haber obtenido el consentimiento para el tratamiento de mis datos, así como que acreditara haberme informado de los derechos establecidos en el artículo 5 apartado 1a),

1. d)y e); la entidad denunciada 1, no puede justificar haber obtenido mi consentimiento para el tratamiento conforme a lo establecido en el artículo 6.1 de la LOPD (LO 15/99, 13 diciembre)… Ese documento no acredita ningún consentimiento, y lo único que acredita ese documento es la recogida de datos sin informar de los derechos establecidos en el artículo 5 LOPD por parte de la denunciada 2, hechos que como ya están denunciados en el procedimiento nº E/05344/2017 ante esta AEPD, no procede repetir. En el presente caso, a mi juicio queda constatado que la denuncia 1 (NB Gestión SGIIC) ha tratado dados personales del denunciante sin su consentimiento, y ha conculcado el principio de consentimiento regulado en el artículo 6.1 de la LOPD, cometiendo una presunta infracción del art.6.1, tipificada como grave en el artículo 44,.3
2. b)(…). A mayor abundamiento y para que quede claro, DECLARO bajo expresa DECLARACIÓN que nunca jamás he tenido conocimiento que la denunciada 1 tuviera mis datos de carácter personal, o de que hubiera puesto un FI a mi nombre, hasta que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 recibí la carta el 08-03-18. De haberlo sabido antes, pues antes habría presentado esta Denuncia y habría retirado el presunto FI de inmediato, como he hecho cuando lo he descubierto todo el 08-03-18. Respecto a la denunciada 2, y dado que ya se denunció contra ella la falta de cumplimiento del artículo 5 en el procedimiento E/05344/2017 (pendiente de resolver) nos encontramos en relación con los hechos descritos en el presente escrito por parte de Novo Banco S.A Sucursal España, en primer término por ceder mis datos sin mi consentimiento, y siempre a mi juicio con la posible comisión de una infracción del artículo 11.1 (…). En el presente caso, la denunciada 2 no solo NO contaba con el consentimiento del interesado, sino que en documento sellado con fecha 08/08/2017 en las oficinas de Novo Banco se hizo entrega de documento con la expresa oposición al tratamiento de los datos (copia como documento nº 5) en que en el apartado 2º se hacía constar expresamente …. Y hay más no solo No contaba con el consentimiento para la cesión de los datos sino que además No atendió debidamente el derecho de cancelación (conforme al art. 16.4 LOPD “Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación”). En dicho documento de cancelación, se advertía expresamente en el punto 4 (….), es decir, se le instaba a que comunicara la petición de cancelación a los responsables de los ficheros en caso de que hubieran sido comunicados (como ahora he descubierto que hicieron el día 29-08-17 al denunciante 1 y no consta que hubiese comunicado la petición de cancelación a NOVO Banco Gestión SGICC (denunciante 1) como cesionaria del fichero en el que se recogían datos del denunciante (…) incurriendo a mi juicio en una presunta infracción del artículo 16.4 de la LOPD, tipificada como grave en el artículo 44.3
3. c)de la LOPD (…). Por todo ello SOLICITA: Primero. La apertura de un procedimiento sancionador a la entidad denunciada 1 (Novo Banco Gestión SGIIC, S.A) por los hechos descritos en el apartado 5. Segundo. La apertura de un procedimiento sancionador a la entidad denunciada 1 (Novo Banco Gestión SGIIC, S.A) por los hechos descritos en el apartado 5. Tercero. La apertura de un procedimiento sancionador a la entidad denunciada 2 (Novo Banco S.A)-Sucursal en España-- por los hechos descritos en el apartado 5. Cuarto. La apertura de un procedimiento sancionador a la entidad denunciada 1 (Novo Banco S.A Sucursal en España) por los hechos descritos en el apartado 5. (…) dado que los hechos expuestos podrían suponer una presunta infracción del art.16.4 de la LOPD (…), pudiendo ser sancionada con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 Quinto. La tutela de la AEPD al amparo de lo establecido en el artículo 18.2 de la LO 15/1999, 13 de diciembre de Protección de Datos de carácter personal, por vulneración del artículo 16.1 de la referida Ley Orgánica, y de los artículos 31,32 y 33 del Real Decreto 1720/2007, de 21 de diciembre, que la desarrolla, y dictándose Resolución por la que se me remita certificado en el plazo de diez días hábiles siguientes (…)”. Junto con el escrito aporta la siguiente DOCUMENTACIÓN:         Copia carta recibida NB Gestion SGIIC, el 08/03/18. Copia del ejercicio de acceso de datos de fecha 09/03/2018. Contestación recibida el día 15/03/18 al ejercicio del derecho de acceso de datos. Copia del original de documento de recogida de datos de fecha 10/07/2017. Copia de documento de oposición al tratamiento de datos. Copia del documento de cancelación de datos de Novo Banco S.A de 18/09/17. Copia de la respuesta a la cancelación recibida el 02/10/17. Copia de la cancelación efectuada el 21/03/18 a Novo Banco Gestión. SEGUNDO: En fecha 01/06/2018 se recibe en este organismo escrito del Sr. A.A.A., manifestando que los “datos no han sido debidamente bloqueadas” . Los hechos expuestos en el punto anterior pueden suponer una infracción del artículo 16 LOPD, por la no cancelación efectiva de mis datos, tipificada como grave en el artículo 44.3
4. e)de la LOPD, o una posible infracción del art. 6.1, ya que un nuevo tratamiento requiere el consentimiento inequívoco del denunciante (…). Por ello Solicita: Que por medio del presente escrito, presenta denuncia por los hechos expuestos y solicita la apertura de procedimiento sancionador que corresponda en su caso”. TERCERO: En fecha 24/07/2018 se recibe nuevo “escrito” del denunciante confirmando la recepción de la notificación de la AEPD en la que se confirmaba la recepción de la documentación expuesta en el punto anterior y comunicando la referencia del Expediente, habiendo correspondido el mismo, la siguiente E/03007/2018. “Por lo expuesto en primer término no es aplicable dicho Reglamento (sino la antigua LOPD), y en segundo, no se ha recibido comunicación alguna dentro del plazo de un mes (ni por el responsable del tratamiento, ni por el encargado) por lo que reitero nuevamente los hechos denunciados, y solicitando nuevamente la aplicación de todo lo solicitado en la Denuncia que ha dado lugar al Expediente E/03007/2018”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 CUARTO: En fecha 20/08/2018 se recibe nuevo escrito del denunciante—Sr. A.A.A.— manifestado que “el derecho sigue sin ser atendido cuatro meses después de haber sido denunciado, hecho que se reitera dada la gravedad del mismo”. “Que en mi condición de denunciante e interesado, solicito a tenor de lo establecido en el artículo 53.1
5. a)de la Ley 39/2015 (1 octubre) conocer el estado de tramitación de los procedimientos solicitados en la Denuncia, así como por lo dispuesto en el artículo 64.1 de la Ley 39/2015, se me comunique la apertura de cualquier procedimiento en relación con mi Denuncia, a los efectos de tenerme por personado y poder presentar alegaciones en toda la fases del procedimiento” QUINTO: En fecha 20/09/18 el denunciante—Sr. A.A.A.—presenta nuevo escrito ante este organismo, manifestando: “Por tercera vez en este expediente, hago constar que no es de aplicación el Reglamento (UE) 2016/679, de 27 de abril (…) dado que dicho Reglamento establece claramente en su artículo 99.2 (…) La incorrecta aplicación de la legalidad vigente en su momento es a mi juicio contrario al Ordenamiento jurídico, y lesiva de los derechos fundamentales a la protección de datos de carácter personal que me asisten, toda vez que la Denuncia nº1, sigue cinco meses después de haber solicitado el amparo de esa AEPD sin haber atendido a mi derecho de cancelación, hecho que (...)”. SOLICITO: Que se proceda a la correcta aplicación de la LOPD, toda vez que en el presente caso no es de aplicación el nuevo RGPD, reiterando nuevamente la procedencia de la apertura de tutela de derechos, exigiendo que cumplan las funciones y obligaciones previstas en el artículo 37 de la LOPD (…)”. SEXTO: En fecha 07/09/2018 se recibe en este organismo escrito de alegaciones de la entidad NOVO Banco S.A (Sucursal en España) “Con fecha 09/08/18 se ha recibido en esta Entidad comunicación de la AEPD por la que se nos da traslado de la reclamación presentada por Don A.A.A. contra Novo Banco S.A, Sucursal en España (en adelante el Banco) confiriéndole el plazo de UN MES para que se analice dicha reclamación… y remitir a esta Agencia diversa información y documentación. Se acompaña como Documento nº. 1 copia de la carta que se ha remitido al reclamante informándole de la decisión adoptada por el banco, y justificante del envío de carta certificada, como Documento nº. 2. Resumidamente, el Banco muestra su disconformidad y oposición con los motivos de la denuncia, explicando los motivos por los que a su juicio entiende que NO ha existido infracción de las disposiciones que se citan por el reclamante en los apartados CUARTO y QUINTO del mismo. En aras de evitar inútiles repeticiones, nos remitimos al contenido de la contestación efectuada por el Banco al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Con motivo del fallecimiento de Doña B.B.B., el reclamante en su condición de heredero, solicita a NOVO Banco S.A (Sucursal en España) en adelante Novo Banco S.E, la tramitación de la testamentaria en fecha 10/07/2018. Dicha solicitud que ha sido acompañada al escrito de reclamación (página 19 del Anexo I) la damos por reproducida a los efectos de la documentación relevante aportada por esta parte. El denunciante suscribió el contrato único (CUNICO) de apertura de cuenta corriente con NOVO Banco Sucursal España con fecha 21/08/2017 para poder depositar los fondos correspondientes de la testamentaria. Se acompaña como Documento nº 3, copia del referido contrato. La CLAÚSULA DÉCIMA de al Condiciones generales que firmó y fueron entregadas al reclamante regula todo lo relativo a la protección de datos de carácter personal. Se acompaña DOC. nº 4, copia de la cláusula referida. Con carácter previo, en mayo de 2017 (fecha anterior a la solicitud testamentaria) al denunciante se le entregó la información precontractual dónde expresamente se le informa en el apartado de CONSIDERACIONES LEGALES, del responsable del fichero. Se aporta como Documento nº 5 las dos páginas de la información precontractual referida. Novo Banco S.A (Sucursal en España) (antes Banco Espirito santo, SE) tiene suscrito con Novo Banco Gestión SGIIC (en adelante, la Gestora), contrato de comercialización de fondos de fecha 14 de octubre del año 2013, para actuar como comercializadora en la distribución de participaciones de Instituciones de Inversión Colectivas, recogiéndose expresamente en su cláusula Décima, apartado segundo, los compromisos recíprocos en materia de Protección de Datos. Se acompaña como Documento nº7 copia del referido contrato. Es de destacar que en dicho Expediente la Directora de la AEPD ya tuvo ocasión de resolver sobre el derecho de oposición y el de cancelación solicitados por el ahora reclamante, por lo que nuevamente volver a denunciar por el derecho de cancelación supondría infringir el principio “non bis in ídem” que proscribe el derecho general sancionador. Informe de Conclusiones. Como hacemos constar en la carta de contestación al reclamante sobre la decisión adoptada por el banco, y una vez analizada la misma, entiende esta Entidad que los hechos de la denuncia concretados en los puntos cuarto y quinto de la misma carecen de fundamento por los motivos que se exponen en la misma, y que en este punto damos pro reproducidas como hechos y fundamentos de Derecho que justifican nuestro rechazo y oposición a la reclamación del Sr. A.A.A.. Entiende el banco que las medidas establecidas y los procedimientos articulados para el ejercicio de los derechos ARCO han sido adecuados. Téngase en cuenta que la denuncia del Sr. A.A.A. viene amparada por la normativa de la LOPD (…). En la actualidad el Banco ha implementado los procesos oportunos para cumplir con los derechos de los interesados que se recogen en el Capítulo III del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 Por todo lo expuesto anteriormente, SUPLICO a la AEPD, tenga por presentado este escrito, junto con los documentos que al mismo se acompañan; tener por contestado, en tiempo y forma, el requerimiento de alegaciones frente al requerimiento de información del Expediente E/03007/2018, y en virtud de las consideraciones expuestas en el mismo…se acuerde el ARCHIVO de la denuncia presentada (…)”. SÉPTIMO: En fecha 30/10/2018 se recibe en este organismo nuevo escrito del Sr. A.A.A. en dónde manifiesta que su derecho sigue sin ser atendido siete meses después de haber sido denunciado (…) Reiterándose en pretensiones anteriormente esgrimidas como la Recusación de la Directora de este organismo, el recordatorio de la normativa a su juicio aplicable al caso en cuestión y ordenando la resolución del presente asunto a la mayor celeridad para poder acudir a la Audiencia Nacional (aunque luego tampoco acatan y cumplen con las Sentencias) “dado que por la experiencia que ya tengo es inútil esperar que esa Agencia me atienda”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados
6. i)y
7. j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (en adelante, RD 428/1993). En idéntico sentido se pronunciaba el artículo 37.
8. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, vigente en el momento de los hechos denunciados (en lo sucesivo LOPD). II Antes de entrar en el fondo del asunto, es necesario analizar la solicitud de “Recusación” planteada en escrito de fecha 20/08/18 contra la Directora de este organismo—Doña Mar España Martí—por “enemistad manifiesta y animadversión hacia mi persona”. Para que pueda hablarse de enemistad manifiesta sería necesario un comportamiento previo que acreditará lo manifestado, más allá de las meras manifestaciones del denunciante. A lo anterior añadir que no aporta ningún medio de prueba acreditado en Derecho que permita constatar lo expresado, como frases, opiniones, manifestaciones de agravio, insultos, actos despreciativos, etc., en documento (
9. s)concreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 Ante la ausencia de prueba documental en dónde se concrete la actuación denunciada, cabe incidir en la objetividad de las Resoluciones emitidas, aunque el recurrente esté disconforme con las mismas. El hecho de discrepancias en las Resoluciones de este organismo, que son diversas y reiteradas, no implica la situación de “enemistad manifiesta” que argumenta el denunciante, ni se aprecia hecho notorio alguno, que impida la resolución de las cuestiones planteadas por la Directora de este organismo. El artículo 88 apartado 5º de la Ley 39/2015 (1 octubre) dispone: “En ningún caso podrá la Administración abstenerse de resolver so pretexto de silencio, oscuridad o insuficiencia de los preceptos legales aplicables al caso, aunque podrá acordarse la inadmisión de las solicitudes de reconocimiento de derechos no previstos en el ordenamiento jurídico o manifiestamente carentes de fundamento, sin perjuicio del derecho de petición previsto por el artículo 29 de la Constitución” (*la negrita pertenece a este organismo). Por tal motivo procede inadmitir la solicitud planteada, al no apreciarse objetivamente la causa esgrimida por el denunciante. En segundo término, frente a las reiteradas “Quejas” de dejadez de funciones de este organismo (escritos 24/07/18 y 20/08/18), cabe indicar que según consta en el sistema informático de esta Agencia en fecha registro salida 01/06/18 se le comunicó la recepción de su primera Denuncia, indicándole un número de referencia del Expediente administrativo asociado, informándole del traslado de la misma al “responsable” de protección de datos de la entidad denunciada. Por tanto, no cabe hablar de “dejadez de funciones” cuando dentro de plazo marcado legalmente, se han adoptado las medidas necesarias para proceder a la investigación de los “hechos” denunciados ante este organismo. El artículo 26 de la Ley 40/2015 (1 octubre), Régimen jurídico del Sector Público, dispone lo siguiente: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones pendientes de cumplimiento al entrar en vigor la nueva disposición” (*el subrayado pertenece a este organismo). De manera que será este organismo el que determine el régimen jurídico a aplicar a las diversas cuestiones planteadas, previo ejercicio del derecho de defensa (como no puede ser de otra manera) de la parte denunciada, la cual será escuchada en lo que tenga que alegar en relación a los “hechos” por su parte trasladados. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 En fecha 17/04/2018 se recibe en esta Agencia escrito de Don A.A.A. (en adelante el Denunciante) por medio de cual traslada como hecho principal: “..recepción comunicación por correo postal (Doc. nº 1) de la empresa Novo Banco Gestión SGIIC (en lo sucesivo denunciando 1) con información sobre un fondo de inversión (en lo sucesivo FI). Como nunca he tenido relación con esta empresa, ni le he facilitado mis datos de carácter personal, al día siguiente ejercí derecho de acceso (copia como documento nº 2)…”—folio nº 1--. Los “hechos” descritos suponen según solicita el denunciante, una infracción del contenido del artículo 6 LOPD (LO 15/99, 13 diciembre), tipificada como grave en el artículo 44.3
10. b)del mencionado texto legal. “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” Para poder analizar la Denuncia contra esta primera entidad—Novo Banco Gestión SGIIC—es necesario realizar una serie de aclaraciones previas. Novo Banco Gestión SGIIC S.A (en adelante NB Gestión) es una entidad gestora de Instituciones de Inversión Colectiva que pertenece al grupo financiero portugués Novo Banco, inscrita en el registro Mercantil-Folio nº 1 NIF: A-79058384— Inscrita en el registro Oficial de la CNMV nº 113. La entidad denunciada (NB Gestión) tiene suscrito con Novo Banco S.A, Sucursal España (antes Banco Espirito Santo, Sucursal en España), contrato de comercialización de fondos de fecha 14 de octubre de 2013, para actuar como comercializador en la distribución de participaciones de Instituciones de inversión Colectiva. En la copia del referido contrato (aportado por la parte denunciada Doc. probatorio nº 1) se recoge en su clausula Décima, apartado 2º, los compromisos recíprocos en materia de protección de datos, designando a Novo Banco como “encargado del tratamiento” de los datos de carácter personal de los que es responsable—Novo Banco Gestión—(NB Gestión). El artículo 3 letra
11. d)LOPD define la figura del “Responsable del fichero” en los siguiente términos: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento” Asimismo, el artículo 3 letras
12. g)LOPD (*LO 15/99, 13 diciembre, en vigor en el momento de los hechos trasladados) define la figura del “Encargado del Tratamiento” en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 “Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento” El denunciando mantiene relación contractual con la entidad—Novo Banco S.A-, al que le encarga la tramitación testamentaria de Doña B.B.B. en fecha 10/07/2017. Se corrobora tal extremo (página 19 Anexo I-prueba documental-), que es aportada por el propio denunciante solicitando “tramitación testamentaría” a la entidad Novo Banco S.A, estando la misma firmada en la parte correspondiente al solicitante y no estando la misma puesta en tela de juicio por ninguna de las partes en litigio. Por tanto, no admite discusión la existe de una relación contractual ente el denunciante y la entidad Novo Banco S.A, a raíz del encargo de “tramitación testamentaria” con motivo del fallecimiento de Doña B.B.B., asociado al número de cuenta cliente XXXXXXXXXXXXXXXXXXXX. A la hora de abordar una partición hereditaria ordinaria, el ciudadano debe de enfrentarse a un conjunto variado de trámites que debe de superar: partición notarial o judicial de la herencia, pago de los derechos sucesorios, administración del caudal relicto… Entre estos trámites, destaca por su importancia el de la tramitación de la herencia ante las entidades financieras donde, por lo general, se encontrará depositado una parte sustancial del caudal relicto. El punto de partida de toda tramitación de una testamentaria bancaria es la necesidad de justificar ante toda entidad que el solicitante ostenta la cualidad de heredero o legatario para poder solicitar información o la puesta a disposición de los fondos. Dicho trámite se cumple por medio de la presentación por parte del interesado del Certificado de Defunción del cliente bancario fallecido, del Certificado del Registro de Actos de Última Voluntad, así como de una copia autorizada del último testamento o de la declaración de herederos abintestato. Del mismo modo, en orden a la disposición de los fondos, los herederos han de acreditar ante las entidades el derecho a la adjudicación de bienes concretos, para lo cual deben de aportar documentación acreditativa de la aceptación, partición y adjudicación de la herencia, pudiendo ésta formalizarse tanto en documento notarial como en documento privado, siempre que en este último caso venga firmado por todos los herederos o sus representantes y se lleve a cabo el reconocimiento de firmas mediante la pertinente Diligencia. En el presente caso, el denunciante (ostenta la condición de heredero) en el caudal relicto de la fallecida—Doña B.B.B.--, estando constituido el mismo por “la totalidad del patrimonio que deja tras el fallecimiento el causante, esto es, derechos, bienes y obligaciones”. No admite discusión la existencia de una relación contractual entre las partesdenunciante y denunciada (Novo Banco S.A). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Los datos personales del mismo son “tratados” en base al consentimiento expreso del afectado en el encargo de la tramitación del “expediente testamentario”, esto es, que una vez recibida y analizada toda la documentación preceptiva, el mismo (la entidad denunciada) procederá a efectuar las transferencias, traspasos o depósitos que en su caso proceda. Hasta este punto de la exposición realizada, no existe mayor complejidad, cuestión que se tuerce cuando el denunciante “recibe en fecha 08/03/18 comunicación de la entidad Novo Banco Gestión SGIIC” (folio nº 1). A partir de este momento, el denunciante considera que ambas entidades infringen palmariamente la normativa vigente en materia de protección de datos, la entidad Novo Banco S.A por presuntamente ceder sus datos sin consentimiento a la entidad NB Gestión, infringiendo el contenido del artículo 11.1 de la LOPD. Mientras, que por otra parte, la entidad Novo Banco Gestión ha infringido el contenido del artículo 6.1 LOPD, al estar presuntamente “tratando sus datos de carácter personal” al no haber otorgado consentimiento alguno y manifestar que “nunca ha tenido relación contractual con la misma”. IV Para poder analizar la reclamación planteada, es necesario partir del concepto, anteriormente expuesto, la noción de “Caudal relicto”. “Conjunto de bienes, derechos y obligaciones, que resultantes del fallecimiento de una persona y que constituyen todo su patrimonio.” La fallecida (Doña B.B.B.) a lo largo de su vida, tenía sus ahorros (los que fueran) en la correspondiente cuenta cliente de su elección (en su momento Banco Espirito Santo S.A, en la actualidad Novo Banco S.A), disponiendo también de participaciones, fondos o derechos (como producto financiero distinto) gestionado por la entidad—Novo Banco Gestión--. Desde que los causahabientes hayan aceptado una herencia, los datos a suministrar deben ir referidos a ellos como titulares, pues en el derecho Civil español, los efectos de la aceptación de la herencia se retrotraen al momento del fallecimiento del causante (artículo 989 Código Civil). Por tanto, el denunciante-Sr. A.A.A.—aportó libremente los mismos, sin requerir mayor explicación que estos son necesarios para la realización del encargo de tramitación testamentaria, por parte de la entidad—Novo Banco Gestión--. El artículo 6 apartado 2º de la LOPD (LO 15/99, 13 diciembre) dispone lo siguiente: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. La entidad denunciada, como encargada del tratamiento—Novo Banco—puso en conocimiento de la entidad –Novo Banco Gestión SGIIC—(responsable) el hecho de la existencia de un nuevo titular, adquiriendo tal condición como consecuencia del fallecimiento de la titular originaria: Doña B.B.B.. Por tal motivo, no es de extrañar que el denunciante, recibiese carta de la entidad - Novo Banco Gestión SGIIC—datada 08/03/2018 comunicándole el “estado de posición con el detalle de las operaciones en fondos y/o sicavs” gestionados por la citada entidad. El reparto de la herencia y adjudicación de las participaciones, en sustitución de la causante, se produce el 02/10/2017, por lo que la entidad gestora genera estado de posición en fecha 31/12/17, con la posición asignada a cada heredero (como es el caso del denunciante). El artículo 17 apartado 1º de la Ley 35/2003, 4 de noviembre, de Instituciones de Inversión Colectiva, dispone lo siguiente: “La sociedad gestora, para cada uno de los fondos de inversión que administre, y las sociedades de inversión deberán publicar para su difusión entre los accionistas, partícipes y público en general un folleto, un documento con los datos fundamentales para el inversor, un informe anual, un informe semestral y un informe trimestral, con el fin de que, de forma actualizada, sean públicamente conocidas todas las circunstancias que puedan influir en la apreciación del valor del patrimonio y perspectivas de la institución, en particular los riesgos inherentes que comporta, así como el cumplimiento de la normativa aplicable” Por tal motivo, la Gestora (NB Gestión), transcurrido un año natural, comunicó al Sr. A.A.A., el estado de posición de los fondos, una vez acreditada su condición de heredero y se expidió el estado de posición de los mismos de acuerdo con lo dispuesto en el artículo 4.3 del Decreto 1082/2012, 13 de julio por el que se aprueba el Reglamento de desarrollo de la Ley 35/2003, de 4 de noviembre de Instituciones de Inversión Colectiva. Expuesto lo anterior, desde el punto de vista de protección de datos, no cabe apreciar la infracción (
13. es)argumentada, en tanto en cuanto, --Novo Banco S.A—trato los datos en la condición de “cliente” del denunciante, acreditando documentalmente disponer el consentimiento escrito del propio afectado. Tampoco puede hablarse strictu sensu de “cesión” de datos y menos aún, que la misma sea como pretende el denunciante “ilegal”, pues como se ha expuesto es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 necesario que la entidad encargada de la gestión de fondos, conozca el fallecimiento del titular de la cuenta, así como la persona (
14. s)que ocupan el lugar de la misma. El artículo 11 apartado 2º de la LOPD (LO 15/99, 13 diciembre) exime de la obligación de contar con el consentimiento del afectado “Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros”. El caso expuesto encuentra acomodo en el precepto señalado como excepción a contar con el consentimiento del titular de los datos, pues no requiere mayor explicación que en tanto se resolvía el expediente de tramitación testamentaria, la entidad encargada de gestionar los fondos de la fallecida conociese tal hecho, así como que tuviese conocimiento de la persona (con sus datos personales) a la que dirigirse en cumplimiento de las obligaciones legales expuestas. A mayor abundamiento, examinado el escrito remitido en fecha 08/03/18 el mismo dispone en el píe de página de la información concerniente a la protección de datos de carácter personal, en cumplimiento de lo preceptuado en el párrafo 5º del artículo 11 de la LOPD. De manera que, examinada la denuncia presentada, cabe concluir que decae en cuanto a lo pretendido por el denunciante, al no existir la premisa principal, “tratamiento no consentido” de sus datos personales, pues el hecho del encargo legitima tal aspecto, así como el conocimiento de los mismos por la segunda entidad denunciada, la gestora NB Gestión, en cuanto acorde a la finalidad del mismo. V Por último, es necesario hacer referencia a la solicitud relativa a la cancelación de sus datos de carácter personal, planteada en el escrito de fecha 17/04/18, solicitando la tutela de derechos ante este organismo. Cabe indicar que por una parte, el afectado ejercita derecho de oposición ante Novo Banco España S.A, en fecha 07/09/2017. (Doc. probatorio nº 5-Escrito Denunciante). Por otra parte, el afectado ejercita derecho de cancelación de cuenta y solicitud de cancelación de datos ante la entidad Novo Banco España S.A (Doc. probatorio nº 6-escrito Denunciante), en fecha 18/09/17. En el primero de los escritos el denunciante manifiesta lo siguiente: “Manifiesto mediante este documento, mi voluntad clara y expresa de ejercer el derecho de exclusión de la utilización de mis datos para fines de publicidad y prospección comercial, de conformidad con lo previsto en el artículo 28 de la LOPD” ”Que mis datos de localización sólo sean tratados en el marco de la prestación de un servicio añadido que impliquen dicha localización, y siempre y cuando sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 solicitados EXPRESAMENTE por el cliente, y solo por el tiempo necesarios para prestarlos” “Igualmente, que su utilización se limite exclusivamente a la relación contractual que mantengo con NOVO Banco, por ser la finalidad para que fueron recogidos” (*el subrayado pertenece e a este organismo). Como se ha expuesto, el denunciante procedió a subrogarse legalmente en la posición de la fallecida –Doña B.B.B.--, partiendo del principio de que los herederos suceden al difunto en todos sus derechos y obligaciones. Con el hecho de contratar la “gestión hereditaria”, momento en que el denunciante, aporta tanto el DNI (condición de heredero), como la documentación relativa a “Testamento del causante o Acta de Notoriedad de Declaración de Herederos” (Doc. probatorio Anexo I del denunciante), éste ya está manifestando su condición de heredero. La propia naturaleza del encargo “tramitación testamentaria” implica que se tiene que conocer, por un lado, quien ostenta tal condición de heredero de la difunta, y en segundo lugar, poder conocer todo el activo (dinero, fondos, inversiones, acciones, etc) que la misma tenía contratado en vida. Por tanto, el derecho de oposición ejercitado en primer lugar, lo será a todo aquello que no entre en conflicto con el propio encargo que ha ordenado a la entidad –Novo Banco Gestión S.A (NB Gestión)--, sensu contrario, se produciría una “incongruencia” entre lo ordenado y lo que le permite/no permite realizar a la entidad en cuestión. No consta que la documentación enviada incumpla la petición expresa del denunciante “no utilización de mis datos para fines de publicidad y prospección comercial” (folio nº 1 -doc. probatorio 5). Dado que lo que se le envía (Doc. probatorio nº 1-escrito denunciante) por parte de la entidad—Novo Banco Gestión—es el estado de posición a fecha 31/12/17 del fondo de titularidad inicial de la fallecida, en el que se subroga por ley con efectos retroactivos a la fecha del fallecimiento: Don A.A.A.. Es necesario partir del hecho, que el denunciante presenta dos escritos (oposición y cancelación) en apenas 24 horas, contestando la entidad Novo Banco en fecha 25/09/17, al segundo escrito mencionado de fecha 18/09/17. El artículo 31.2 RD 1720/2007, 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, dispone lo siguiente: “El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 Por tanto la respuesta se produce dentro del pazo marcado legalmente, por la entidad ante la que ha ejercitado sus derechos en los siguientes términos, “Acusamos recibo a su orden de cancelación de datos, recibida en nuestra entidad con fecha 21 de septiembre de 2017 (…)”. La única cuestión que queda por dilucidar es determinar realmente qué solicitó en su escrito de fecha 18/09/17 el denunciante, para lo cual acudimos al tenor literal del mismo: “…se les requiere para que procedan de inmediato (por no ser ya necesaria) a la cancelación de la cuente XXXXXXXXXXXXXXXXXXXX que ustedes me obligaron a abrir en ese banco…” “…no procede el cobro de comisión de mantenimiento o administración, por los motivos que si fuera necesario ya se explicaran de manera concienzuda ante el Servicio de Reclamaciones del banco de España” “…no hace falta que hagan nada más, se procede a la reclamación de la deuda por vía judicial, pues han demostrado de sobra que no hay otra forma, se les han dado cas tres meses de plazo para hacer un simple pago, se ha abierto cuenta en otra entidad para que hicieran transferencias (…)” De la lectura transcrita del escrito presentado, existen serias dudas, que se enmarquen en el ejercicio del derecho de cancelación de datos personales, tal y como estaba plasmado en los artículos 16 de la LOPD, en conexión con el artículo 31 del RD 1720/2007, 21 de diciembre. Pues la lectura del escrito apunta a la rescisión de un relación contractual -cancelación cuenta bancaria—que tiene su propio procedimiento específico, pero que aquí se mezcla con la normativa de protección de datos. No obstante, entendemos que con la contestación aportada, se procedió en los términos expuestos, esto es, a la cancelación de la cuenta indicada por el propio denunciante, sin que ello tenga por que afectar al negocio principal que todavía estaba sustanciándose entre las partes: la gestión de la tramitación testamentaria. Por tal motivo, no procede ordenar procedimiento de tutela de derechos alguno, al no estimarse que se haya visto afectado el derecho ejercitado en los términos expuestos. El resto de cuestiones, que mezcla en el escrito, no corresponde valorarlas a este organismo, pues son propias de los usos y costumbres bancarias y ajenas por tanto a nuestro marco competencial. En todo caso, es recomendable que en lo sucesivo, proceda en primer lugar a la rescisión de las relaciones contractuales por la normativa y cauce específicos, pues de lo contrario se corre el riego de dificultar la solicitud y generar confusión en los propios servicios de Atención al cliente o jurídicos de la entidad (
15. es)a la que se dirige. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 A modo de ejemplo, es recomendable primero rescindir/cancelar la cuenta bancaria que tenga en cualquier entidad por el procedimiento específico y, posteriormente, si se dan los requisitos marcados legalmente, proceder a ejercitar los denominados derechos ARCO, en el marco de la normativa en vigor en materia de protección de datos (vgr. por recibir publicidad comercial tras cancelar toda relación con los mismos, etc). En este caso, la voluntad del afectado era la de cancelar la cuenta abierta con una de las entidades denunciadas, lo que supone un procedimiento de cancelación de la misma, con sus pasos correspondientes, averiguar si hay compromiso de permanencia, inexistencia de deudas pendientes, solicitud en la propia sucursal de apertura (o por medio electrónico habilitado) y emisión de certificado de cancelación emitido por la entidad bancaria. De acuerdo con lo argumentado se INADMITE el derecho ejercitado ante este organismo, al carecer la pretensión del denunciante de objeto en cuanto a la vulneración del derecho esgrimido, por los motivos expuestos. VI De acuerdo con lo expuesto, analizadas las alegaciones de las partes y las diversas pruebas documentales aportadas, cabe concluir que no se aprecia infracción alguna en el marco de la normativa en vigor, al tratarse los datos del afectado en su condición de “cliente” fruto del encargo de gestión encomendado voluntariamente a la entidad-Novo Banco S.A--, siendo necesario el traslado de los mismos a una tercera entidad—NB Gestión—tanto por el hecho de subrogarse legalmente en la posición del causante (fallecida), como por ser necesarios a la propia naturaleza del encargo realizado. Se recuerda la parte reclamante, que el Derecho bancario es uno de los campos menos regulados en nuestro Derecho, marco de diversas controversias, con importantes lagunas legales, que exceden del marco competencial de este organismo, siendo las mismas cubiertas en la práctica por medios de contratos-tipo, Reales Decretos, Órdenes Ministeriales, Circulares del Banco de España y por la aplicación de los “Correctos Usos y Prácticas Bancarias”. De tal manera que se recuerda las indicaciones de la Audiencia Nacional de no someter a este organismo, cuestiones complejas en materia civil, mercantil o bancaria, al existir organismos específicos que analizan cuestiones como las que subyacen en el fondo del asunto “partición hereditaria”, evitando con ello el despilfarro de medios humanos y materiales, en cuestiones alejadas a las funciones propias de la protección de datos de carácter personal. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la entidad --NOVO BANCO SA SUCURSAL EN ESPAÑA—y Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es