1/5 Expediente Nº: E/02669/2020 RESOLUCIÓN DE CADUCIDAD DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante BANCO DE SABADELL, S.A., con NIF A08000143 (en adelante, la parte reclamada), y teniendo como base los siguientes HECHOS PRIMERO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD) una reclamación, formulada por A.A.A. (en adelante, la parte reclamante) ante la autoridad de protección de datos de Países Bajos. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal. La citada reclamación se formula contra BANCO DE SABADELL, S.A. (en adelante, la parte reclamada), con sede social y establecimiento único en España, por los siguientes hechos según manifestaciones de la parte reclamante: al ejercitar el derecho de acceso en enero de 2019 el Banco de Sabadell no facilitó en la respuesta el detalle de las transacciones realizadas, aunque sí los datos que figuran en el fichero de clientes. La parte reclamante aporta: - Copia del documento por el que solicitó el ejercicio del derecho de acceso ante BANCO DE SABADELL, S.A., de fecha 29 de enero de
- - Intercambio de correos electrónicos entre la dirección de la parte reclamante ***EMAIL.1 y la dirección ejercicioderechosprotecdatos@bancsabadell.com, en los que la parte reclamante solicita el ejercicio del derecho de acceso ante la parte reclamada y esta última le confirma el envío de un burofax con la información solicitada, los días 13 de febrero y 21 de marzo de
- - Copia del documento proporcionado por la parte reclamada con la información solicitada por la parte reclamante, de fecha 13 de febrero de
- El tratamiento de datos que se lleva a cabo afecta a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, se han declarado interesadas en el presente procedimiento, además de la autoridad de control de Países Bajos, las autoridades de control de: Polonia, Italia, Francia y Portugal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Según informan los representantes de la parte reclamada, la parte reclamante ejercitó su derecho de acceso a sus datos personales con fecha 29 de enero de 2019, sin especificar ningún dato, tratamiento o finalidad que desease conocer específicamente. Se le informó de los contratos suscritos con la entidad, entre ellos el contrato de Banca a Distancia, que le permite visualizar y comprobar en cualquier momento los movimientos de sus cuentas, posiciones y demás operativa. En la respuesta facilitada, la parte reclamada quedó a su disposición para efectuar aclaraciones, ampliaciones, limitaciones o cualquier otra designación específica de sus datos personales, finalidades y tratamientos de los que desee tener información, por lo que de haberlo solicitado específicamente se le habría facilitado a través del mismo medio. Que siendo cliente y titular de un contrato de Banco a Distancia, la parte reclamante tenía disponible a través de un medio a distancia seguro y de fácil acceso información relativa a los movimientos de la totalidad de las posiciones mantenidas con esta entidad, incluyendo los datos de las transacciones realizadas. Con la disponibilidad existente a través de los medios de Banca a distancia, y la contestación al ejercicio del derecho realizado documentalmente dieron por respondida la petición de la parte reclamante, que no especificó que requería los datos de las transacciones realizadas y que serán facilitadas si lo requiere específicamente. En relación al motivo por el que no se ha facilitado a la parte reclamante la totalidad de la información, los representantes de la parte reclamada manifiestan que: 1) La parte reclamante ejercitó un derecho de acceso a sus datos personales con fecha 29 de enero de 2019, utilizando para ello determinados párrafos del literal recogido en el artículo 15 del Reglamento Europeo 679/
- Con motivo de la gran cantidad de datos que el responsable del tratamiento, como entidad financiera, trata de sus clientes y a la propia información en materia de Protección de Datos que, conforme con el artículo 13 del RGPD, la parte reclamada proporciona, tanto en su página web como en la documentación contractual, a los interesados sobre los numerosos tratamientos que lleva a cabo, les llevó a interpretar, que la respuesta dada cubría el ejercicio del derecho de acceso de la parte reclamante al entender que ya conocía la información general sobre el tratamiento de datos que lleva a cabo la entidad y que su interés se centraba en conocer exactamente qué datos personales son utilizados por el banco. (En la actualidad consideran que esta interpretación fue errónea) La propia solicitud de la parte reclamante, poniendo de manifiesto cierta familiaridad con el RPGD les hizo confiar en que facilitando los datos personales objeto del tratamiento atendían la solicitud de manera adecuada, ello sin pretender cerrar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 posibilidad de poder ofrecer mayor detalle sobre cualquier tratamiento concreto que pudiera resultar de interés. La experiencia adquirida por la entidad en la atención del ejercicio de derechos en materia de protección de datos así como el cambio de cultura que tanto interesados como entidades han experimentado lleva a realizar una revisión continua de su actuación en la materia y, con el fin de evitar que debido a la gran cantidad de datos que tratan, el ejercicio del derecho de acceso de los interesados se pueda ver desvirtuado por un ofrecimiento exceso de información, ofrecen al propio interesado la posibilidad de que se vuelva a poner en contacto con la entidad si la expectativa de información no ha quedado cumplida. 2) Una vez entendido que la respuesta al ejercicio del derecho de acceso no ha sido acertada, han procedido a facilitar toda la información solicitada por la parte reclamante, quedando a su disposición para ofrecer mayor detalle sobre cualquier cuestión que considere oportuna. Esta información habría sido igualmente proporcionada si hubiera sido solicitada directamente a la entidad sin presentar reclamación ante las Autoridades de Protección de Datos. Con fecha 2 de septiembre de 2020 desde la parte reclamada remitieron un correo electrónico informándole a la parte reclamante de que se había enviado una carta certificada con la respuesta al ejercicio de derecho de acceso. Los representantes de la entidad aportan documentación con el cumplimiento del ejercicio del derecho de acceso remitido a la parte reclamante y el justificante del envío de fecha 1 de septiembre de
- FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: “
- Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales.
- Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” III En relación con las actuaciones previas, en la LOPDGDD, su artículo 122.4 dispone que “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas si, transcurridos más de doce meses desde su inicio, no se ha procedido a dictar y notificar el acuerdo de inicio de procedimiento sancionador. En el presente supuesto el cómputo de los doce meses de duración máxima de las actuaciones previas E/02669/2020 se inició el 14 de marzo de 2020, si bien el cómputo de los plazos se suspendió hasta el 1 de junio de 2020 debido a la declaración del estado de alarma, y actualmente aún están pendientes de finalización, por lo que deben declararse caducadas. IV Por otra parte, el artículo 95.3 de la citada LPACAP, determina que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Al respecto la Audiencia Nacional considera (Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 En consecuencia, dado que los hechos objeto de investigación no se encuentran prescritos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicie nuevas actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD de las presentes actuaciones previas de investigación señaladas con el número E/02669/
- SEGUNDO: ABRIR nuevas actuaciones de investigación e incorporar a estas nuevas actuaciones la documentación que integra las actuaciones previas que se declaran caducadas mediante el presente acto. TERCERO: NOTIFICAR la presente Resolución a BANCO DE SABADELL, S.A. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 907-270520 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es