E-02521-2013

1/4 Expediente Nº: E/02521/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAIXABANK, S.A. en virtud de denuncia presentada ante la misma por D. A.A.A., y en base a los siguientes, HECHOS PRIMERO: Con fecha de 11/01/2013, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la entidad Caixabank, S.A. (en lo sucesivo CAIXABANK) por haber facilitado sus datos personales a un tercero. En su denuncia manifiesta que es titular de una cuenta corriente en dicha entidad financiera en la que se anotó un reintegro erróneo por importe de 400 euros, de fecha 29/11/2012, subsanado mediante el oportuno ingreso por el mismo importe, realizado en fecha 10/12/2012 por transferencia, en la que constan los datos personales del denunciante junto a los de un tercero, que figura como ordenante del ingreso, con el que no mantiene relación alguna, por lo que deduce que CAIXABANK ha facilitado sus datos personales a dicho tercero para regularizar un cargo indebido, que pudo resolverse mediante una retrocesión de apunte, sin comunicar sus datos al ordenante. Aporta copia de la siguiente documentación: - Detalle de movimiento realizado en fecha 29/11/2012 en la cuenta del denunciante, correspondiente a un reintegro por importe de 400 €. - Notificación de transferencia realizada en fecha 10/12/2012 a favor del denunciante, en la que consta como ordenante un tercero, con detalle de su nombre y apellidos, y por el concepto “ERROR REINTEGRO”. - Escrito de fecha 14/01/2013, en el que CAIXABANK informa al denunciante lo siguiente: “Efectivamente, tal como Usted manifiesta en el escrito de fecha 19/12/2012, el día 29/11/2012, y por un error operativo involuntario, se realizó un cargo al depósito número… (cuenta del denunciante) del cual es Usted titular, provocando que llegada la fecha de cargo de la cuota de su crédito hipotecario, no hubiese suficiente saldo disponible. El error descrito en el párrafo anterior se subsanó el día 10/12/2012 mediante el abono al mismo depósito de los 400 euros erróneamente cargados y adicionalmente se han subsanado los siguientes apuntes derivados de la misma incidencia: …”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CAIXABANK, que manifestó lo siguiente: . “La incidencia fue motivada por un error del empleado que atendió un reintegro solicitado por el Sr. D… (un tercero) y que por error del empleado se cargó en la cuenta del Sr… (el denunciante). Como se puede comprobar en el documento “Justificante de Reintegro”, firmado por el Sr... (el tercero) en ningún caso figuran los datos personales del Sr… (el denunciante). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 Una vez detectado el error al cargar el empleado el reintegro en una cuenta incorrecta se enmienda el mismo mediante una Transferencia/Abono Interno de la cuenta del Sr... (el tercero) a la del Sr… (el denunciante). Previamente a regularizar la situación, se contacta con ambas personas a fin de explicarles el error producido, cómo se va proceder a su regularización y a ofrecer las oportunas disculpas por parte de la oficina”. . Aporta la entidad copia del justificante del reintegro, que aparece fechado el 29/11/2012, por un cargo de 400 € a la cuenta del denunciante suscrito por un tercero. En dicho justificante no constan los datos identificativos del denunciante. En la impresión mecanizada correspondiente a esta operación se indica el importe, la fecha, y los dígitos de la cuenta del denunciante relativos a la sucursal y número de cuenta. . Aporta igualmente documento denominado “Transferencia interna/Traspaso cargo” fechado el 10/12/2012 por un importe de 400 €, y en el que figura el siguiente detalle: DATOS DEL ORDENANTE Depósito de cargo… (cuenta del tercero: número de sucursal y número de cuenta) Titular ordenante… (el tercero) Concepto: *ERROR INTERNO DATOS DEL BENEFICIARIO Depósito de cargo… (cuenta del denunciante: número de sucursal y número de cuenta) Concepto: *ERROR INTERNO Ambas cuentas pertenecen a la misma sucursal de CAIXABANK. . Concluye CAIXABANK: “Como se puede observar por lo documentos se trata de un error operativo sin trascendencia patrimonial, ni tampoco desde el punto de vista de la protección de datos, puesto que en ningún caso, ni el error ni su regularización, implicó que los datos del denunciante... hubieran sido comunicados o cedidos a otra persona”. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El presente caso, se denuncia a la entidad CAIXABANK por haber facilitado los datos personales del denunciante a un tercero. El denunciante es titular de una cuenta corriente en dicha entidad financiera en la que se anotó un reintegro erróneo por importe de 400 euros, de fecha 29/11/2012, subsanado mediante el oportuno ingreso por el mismo importe, realizado en fecha 10/12/2012 por transferencia interna. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Debe tenerse en cuenta la Sentencia de la Audiencia Nacional de 17/03/2004, que analiza el cargo en la cuenta bancaria del denunciante de una operación ordenada por un tercero. En dicha Sentencia se declara lo siguiente: “… lo ocurrido fue, sencillamente, que hubo un error al teclear el número de la cuenta con cargo a la cual se realizaba la operación de compra de acciones... se trataba de una cuenta corriente vinculada a los movimientos de cartera de valores y lo que hizo el banco no fue sino hacer con cargo a dicha cuenta una determinada operación de compra de acciones, y luego el abono de la venta. El hecho de que hubiese un error al imputar a la cuenta de los denunciantes una concreta operación que ellos no habían ordenado denota, sin duda, una anomalía en la mecánica bancaria, anomalía que, por cierto, ya fue objeto de un expediente por parte de la Comisión del Mercado de Valores. Así las cosas, consideramos improcedente que, habiendo sido archivado sin imputación ni declaración de responsabilidad alguna ese expediente incoado por el órgano regulador del mercado de valores, se pretenda corregir aquel desafortunado error del banco, prontamente enmendado, mediante una interpretación forzada de la legislación sobre protección de datos de carácter personal, teniendo en cuenta el carácter restrictivo y nunca expansivo que debe presidir toda acción administrativa sancionadora, incluida, claro es, la regulada en la Ley Orgánica 15/199, de 13 de diciembre. De mantenerse la interpretación que subyace en la resolución recurrida resultaría que cualquier error de anotación, por nimio que fuese, en los movimientos de cualquier cuenta corriente constituiría una infracción grave de la Ley Orgánica 15/1999, conclusión ésta que por su misma desproporción resulta inaceptable”. La Audiencia concluye que: “Por las razones expuestas procede estimar el recurso y anular la resolución impugnada...”. En el presente caso se aprecia una identidad entre el supuesto de hecho objeto de las presentes actuaciones y el examinado en la Sentencia anteriormente transcrita, atendidos todos los aspectos considerados en la misma. Los hechos que se declaran probados en dicha Sentencia tienen que ver con una compra de valores y su posterior venta efectuadas sin la autorización de los titulares de la cuenta bancaria en la que, por error al teclear el número de la misma, fueron consignados el cargo y abono respectivos de aquellas operaciones, valorándose que dicha cuenta corriente estaba vinculada a los movimientos de una cartera de valores, para concluir, en base a ello, que la entidad financiera demandante en aquel procedimiento no incurrió en infracción a la LOPD. Igualmente, en el presente caso, un error involuntario en el procesado de una operación de reintegro determinó que la misma fuese cargada en la cuenta bancaria del denunciante. Obviamente, dicho error únicamente pudo producirse porque los datos del denunciante figuraban en la base de datos de CAIXABANK en calidad de cliente del Banco. La finalidad con que fueron utilizados los datos por CAIXABANK –gestión de operaciones bancarias- fue la misma para la que fueron recabados. Por otra parte, señalar que del mismo modo que la incidencia advertida en el supuesto analizado en la citada Sentencia se trató como una simple anomalía en la mecánica bancaria, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 el caso que nos ocupa el error al teclear la cuenta de cargo del reintegro solicitado por un tercero ha de ser considerado como una simple anomalía, que fue subsanado por CAIXABANK sin perjuicio alguno para el afectado. De lo contrario, podría resultar que cualquier error en la gestión de una empresa o entidad, en los que se vean afectados datos personales de sus clientes, como pudiera suceder al señalar un número de cuenta en el fichero de clientes, podría constituir una infracción grave de la LOPD, conclusión que no guardaría la necesaria proporcionalidad con los hechos que trae causa la presente denuncia; y, que una vez que la entidad financiera tuvo conocimiento del error cometido procedió a la subsanación de la incidencia cometida a su estado original, sin que provocara efectos fuera de su ámbito ni trascendencia externa alguna. En consecuencia, procede el archivo de las presentes actuaciones al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencia conducta subsumible en el catálogo de infracciones previstas y sancionadas en el Título VII de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CAIXABANK, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es