1/6 Expediente Nº: E/02537/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO SANTANDER, S.A., en virtud de la denuncia presentada por A.A.A. en representación de B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 14/01/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A., en representación de B.B.B. (en lo sucesivo B.B.B.) –representación que ha sido debidamente acreditada-, en el que expone que en las oficinas del BANCO SANTANDER, S.A., ( en lo sucesivo, la denunciada o BANCO SANTANDER), en particular en la sucursal 573 de Sevilla, se infringe la normativa de protección de datos pues se facilita a los clientes para su cumplimentación un formulario sobre la calidad del servicio en el que recogen datos personales (nombre y apellidos, NIF, teléfono y dirección electrónica) sin informar en él “cómo se va a tramitar el mencionado documento, ni dónde ni quienes van a tratar/custodiar dicha información contenida en él, si los datos se almacenan en un fichero público o privado”, ni sobre “el modo de comunicación para con el cliente”. Añade que el formulario tampoco ofrece un medio para ejercer los derechos de modificación o supresión de tales datos. Aporta una copia del citado formulario en cuyo encabezamiento consta “META 10 Porque nuestro objetivo es ser NÚMERO 1 EN CALIDAD”. Seguidamente dice: “Estimado Cliente: En el Santander nos esforzamos cada día por ofrecerle lo mejor en el momento de atenderle. Le agradeceríamos valore del 1 al 10 estas preguntas, siendo “10” muy satisfecho”. En el formulario se pregunta al cliente sobre la información comercial que se facilita en la oficina, la claridad y transparencia de la información en la comercialización de los productos, los tiempos de espera en caja, el trato recibido del personal que le atiende y la satisfacción global con el servicio recibido en la oficina. Al pie del documento se indica: “Departamento de Calidad Territorial de Andalucía”. El documento que se adjunta a la denuncia lleva impreso un sello de presentación en la entidad financiera denunciada en fecha 10/09/2014 e incluye los siguientes datos de la denunciante: nombre y apellidos, NIF, número de teléfono y dirección electrónica. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha de 14 de enero de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 En nombre de su esposa B.B.B., la cual cumplimento en la entidad BANCO DE SANTANDER, un documento de satisfacción/sugerencias, del que aporta copia. En dicho documento se solicitan los datos de nombre y apellidos, NIF, teléfono y dirección de correo electrónico. El denunciante manifiesta que en el documento no se informa de ningún aspecto relativo al tratamiento de los datos que se recaban, el fichero en el que se gestionan ni el procedimiento para el ejercicio de los derechos ARCO. ACTUACIONES PREVIAS Con fecha 14 de julio de 2015, BANCO SANTANDER S.A. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Aportan copia impresa de los datos que constan en sus ficheros relativos a B.B.B., como cliente de la entidad, entre los que figuran los mismos datos cumplimentados por la cliente en el formulario objeto de la denuncia. 2. El documento aportado por la denunciante, se encuentran en las oficinas de la entidad bancaria, para que el cliente, si lo desea, las cumplimente y de su opinión sobre el servicio que se le presta en la oficina. 3. Su cumplimentación es totalmente voluntaria y siempre se realiza por clientes del banco. 4. La utilización de dichos documentos es de uso exclusivamente interno para valorar la satisfacción del cliente. Los formularios no se almacenan, son destruidos una vez extraída la información en forma disociada y sin datos del autor de la encuesta.>> FUNDAMENTOS DE DRECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD establece en su artículo 5 bajo la rúbrica “Derecho de información en la recogida de datos”: “ 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. (…) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (…).” (El subrayado es de la AEPD) La LOPD tipifica como infracción leve en su artículo 44.2.
- c)“ El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. El Tribunal Constitucional en Sentencia 292/2000 destaca la relevancia del derecho a la información señalando que “son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos” y que “(…) es evidente que el interesado debe ser informado (…) pues solo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales.” (El subrayado es de la AEPD) Las disposiciones de los apartados 1, 2 y 3 del artículo 5 de la LOPD son trasposición del artículo 10 de la Directiva 95/46/CE, que lleva por rúbrica “Información en caso de obtención de datos recabados del propio interesado” y señala: “Los Estados miembros dispondrán que el responsable del tratamiento o su representante deberán comunicar a la persona a quien se recabe los datos que le conciernan, por lo menos la información que se enumera a continuación, salvo si la persona ya hubiere sido informada de ello:
- a)la identidad del responsable del tratamiento y, en su caso, de su representante;
- b)los fines del tratamiento de que van a ser objeto los datos;
- c)cualquier otra información tal como -los destinatarios o categorías de destinatarios de los datos, -el carácter obligatorio o no de la respuesta y las consecuencias que tendría para la persona interesada una negativa a responder - la existencia de derechos de acceso y rectificación de los datos que le conciernen, en la medida en que, habida cuenta de las circunstancias específicas en que se obtengan los datos, dicha información suplementaria resulte necesaria para garantizar un tratamiento de datos leal respecto al interesado”. (El subrayado es de la AEPD) III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 El deber de información regulado en el artículo 5 de la LOPD está íntimamente conectado con el consentimiento del interesado al tratamiento de sus datos personales. En relación al consentimiento al tratamiento de los datos la LOPD (ex artículo 6.1) exige que el interesado preste su consentimiento inequívoco, salvo que la ley disponga otra cosa. No obstante, el apartado 2 del artículo 6 dispensa de sta exigencia cuando los datos se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento. Tal dispensa tiene su razón de ser en que el consentimiento al tratamiento de los datos está implícito en el consentimiento que su titular otorga al negocio jurídico en cuyo marco aquellos se han facilitado, siempre que el tratamiento realizado sea el necesario para el desenvolvimiento de la relación contractual. Centrándonos en el asunto sobre el que versa la denuncia hay que indicar que las actuaciones de investigación practicadas por la Inspección de Datos de la AEPD han acreditado que la denunciante es cliente del BANCO DE SANTANDER desde el año 2003 y que sus datos constan incorporados a los ficheros de la entidad financiera. Así, las impresiones de pantalla de los registros informáticos del BANCO DE SANTANDER asociados a la denunciante revelan que en la consulta efectuada al registro de “personas físicas” figura “FEC. ALT. 08-04-2003” y “FEC. ULT. 30-08-2011”; que en la consulta al registro “DATOS COMPLEMENTARIOS PERSONAS FÍSICAS” consta también la indicación “FEC. ALT. 08-04-2003” que se repite en la “FEC.ULT.” En el registro relativo a la “Segmentación de personas” consta asociado a la denunciante como “FECHA DE VIGENCIA” “desde 12-02-2007”. En los citados ficheros se recogen diversos datos personales de la denunciante, NIF, nombre y apellidos, domicilio y tres números de teléfono (dos fijos y un móvil) entre otros. Resulta por tanto que el BANCO DE SANTANDER recogió los datos personales de la denunciante años varios antes de que B.B.B. cumplimentara el formulario de calidad que ha dado origen a la presente denuncia, con ocasión del servicio financiero que ambos contrataron. Según consta en los ficheros del BANCO DE SANTANDER los datos de la denunciante se dieron de alta en ellos en el año 2003, exactamente el 08/04/2003. Es a ese momento -en el que la entidad denunciada recabó los datos personales de la afectada- al que hay que referir la obligación de informar que impone la LOPD en su artículo 5, pues fue entonces cuando con ocasión del establecimiento del vínculo contractual se recogieron sus datos personales. Cabe añadir sobre ese particular que los contratos que las entidades financieras utilizan, entre ellas el BANCO DE SANTANDER, suelen incluir una cláusula informativa respetuosa con las exigencias del artículo 5.1 de la LOPD y que, en cualquier caso, no obran en el expediente elementos o indicios de los que pudiera inferirse que cuando el BANCO DE SANTANDER recogió los datos de la denunciante y los incorporó a sus ficheros (en el año 2003) no le facilitó la información exigida por el artículo 5.1 de la LOPD. Es más, incluso aunque entonces se hubiera omitido tal deber, la presunta infracción cometida habría prescrito. Llegados a este punto corresponde traer de nuevo a colación el artículo 10 de la Directiva 95/46/CE, que al regular el deber que incumbe al responsable del tratamiento o a su representante de facilitar a la “persona a la que se recaben datos que le conciernan”, “por lo menos”, la información que ese precepto detalla advierte: “Salvo si la persona ya hubiera sido informada de ello”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Como se expuso anteriormente existe una conexión entre el deber de informar y el consentimiento del interesado al tratamiento de sus datos que el Tribunal Constitucional ha destacado en su STC 292/2000, al advertir que sólo cuando el interesado ha sido informado será eficaz su derecho a consentir, en cuanto facultad esencial del derecho a controlar y disponer de sus datos personales. Por tanto, en relación al asunto que nos ocupa, no era exigible que el BANCO DE SANTANDER informara de nuevo a la denunciante, cliente suya desde el año 2003, de que él era responsable del fichero al que se incorporarían sus datos personales recogidos a través del formulario de calidad. Máxime cuando la denunciante tuvo acceso al formulario de calidad en las propias oficinas del BANCO, en particular la sucursal 573 de Sevilla y que en el documento se indicaba que era “el Santander” el que se dirigía a “su” “Cliente”. Esas mismas razones -que la denunciante era cliente del BANCO SANTANDER y que se le informó con ocasión de la recogida de sus datos en el año 2003 en los términos del artículo 5.1 de la LOPD- unidas al artículo 10 de la Directiva 95/46 CE – precepto que se traspuso al ordenamiento interno a través del artículo 5, apartados 1 a 3, de la LOPD- obligan a concluir que no era preciso que la entidad financiera denunciada informara de nuevo a su cliente, en este caso en el formulario sobre el que versa la denuncia, respecto al medio para ejercitar los derechos de acceso, rectificación, cancelación y oposición. Idéntico razonamiento es aplicable a la obligación impuesta por el artículo 5.1 de la LOPD de informar sobre el destino de los datos, pues en el momento oportuno, cuando se recogieron los datos de la afectada y se incorporaron a los ficheros de la entidad, el BANCO DE SANTANDER le informó del destino de sus datos. Además también se infiere del formulario que el destino de sus datos en “el Santander” concretamente su “Departamento de Calidad Territorial de Andalucía”. Señalar, por último que, por lo que concierne a la obligación de informar sobre los “fines” del tratamiento y el “carácter obligatorio o no de las respuestas” esta información se ofrecía al cliente en el mismo documento sobre el que versa la denuncia. Basta leerlo para comprobar que en él se indica que la finalidad de los datos personales recabados era conocer el grado de satisfacción que los clientes del Banco tenían con el servicio recibido y que el carácter voluntario del cuestionario se infiere, sin lugar a dudas, de la expresión utilizada en él para dirigirse al cliente: “Le agradeceríamos valore de 1 al 10 estas breves preguntas, siendo “10” muy satisfecho”. En definitiva, el BANCO DE SANTANDER, a través del formulario objeto de la denuncia, recabó datos personales de la denunciante y le interrogó sobre la calidad del servicio. La denunciante era cliente de esa compañía desde el año 2003 y sus datos obraban en los ficheros de la denunciada, por lo que había sido informada entonces en los términos del artículo 5.1 de la LOPD. Habida cuenta de que no existen indicios de los que pueda inferirse que el BANCO DE SANTANDER incumplió en el año 2003, al recabar los datos de su cliente, la obligación de informar que le impone la LOPD, no estaba obligado a informar de nuevo a esa persona, su cliente y actual denunciante, al amparo del artículo 10 de la Directiva 95/46 CE que se trasladó al ordenamiento interno a través de los artículos 5.1, 5.2 y 5.3. de la LOPD. A la luz de las reflexiones precedentes no se aprecia en la conducta del BANCO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 DE SANTANDER que se somete a la valoración de este organismo infracción de la normativa de protección de datos, por lo que se acuerda el archivo de las presentes actuaciones de investigación previa. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al BANCO DE SANTANDERS, S.A., y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD) y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es