1/6 Expediente Nº: E/02689/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades BANKINTER SA., BANCO BILBAO VIZCAYA ARGENTARIA SA en virtud de varias denuncias presentada ante la misma y en base a los siguientes HECHOS PRIMERO: Con fecha 26 de junio de 2012 tuvo entrada en esta Agencia un escrito de Dª A.A.A. (en adelante la denunciante) en el que denunciaba que, en el procedimiento ordinario ****/2012 del Juzgado de Primera Instancia Nº2 de Getxo, se aportaron datos de cuentas bancarias privadas y personales suyas, facilitadas por BANKINTER a los demandantes sin su autorización, ya que ella es la única titular de la cuenta, sin que existan otras personas autorizadas. Con la misma fecha tuvo entrada en esta Agencia un segundo escrito de la denunciante en el que denunciaba que igualmente se aportaron en el procedimiento judicial datos y cuentas bancarias privadas y personales suyas y de su difunto marido, facilitadas por BBVA, siendo ellos los únicos titulares, sin que existan otras personas autorizadas. El 12 de febrero de 2013 se dictó resolución por el Director de la Agencia Española de Protección de Datos, acordando el archivo de las denuncias presentadas por la denunciante. Dicha resolución, fue notificada a la recurrente en fecha 19 de febrero de 2013. La denunciante presentó Recurso de Reposición, teniendo entrada el mismo en el Registro de esta Agencia el 19 de marzo de 2013, fundamentándolo básicamente en la reiteración de los argumentos expuestos en su escrito de denuncia de fecha 26 de junio de 2012, añadiendo, no obstante, información sobre su condición de heredera universal de todos los bienes de su difunto esposo, aportando copia del testamento y copia de la demanda que sus hijos interpusieron ante el Juzgado de Primera Instancia nº 2 de Getxo, junto con la documentación que se acompañaba a la misma, consistente en la información bancaria objeto de denuncia. El recurso de reposición fue estimado, ordenándose a la Subdirección General de Inspección de esta Agencia a realizar actuaciones de investigación con el objeto de determinar la posible vulneración de la LOPD por parte de las entidades BANKINTER y BBVA, para lo que se abre el presente expediente de actuaciones previas E/02689/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Analizada la documentación bancaria objeto de denuncia se desprende lo siguiente : 1. Con respecto a la documentación correspondiente a la entidad BANCO BILBAO VIZCAYA ARGENTARIA SA (en adelante BBVA). En la demanda judicial en la que se adjuntaron los documentos se cita que se aporta “un resumen de los datos de los que esta parte dispone … acompañando de los documentos bancarios de donde los mismos se han obtenido”. Se aportan un total de 26 documentos bancarios del tamaño de un tercio de folio, de los que se suelen utilizar para remitir información a los clientes vía correo postal en sobres de dicho tamaño. Ocho documentos corresponden a la información anual fiscal de “Renta o Patrimonio” correspondientes a los años 2002 y 2005, de fechas 31/12/2002 y 31/12/2005. Varios documentos se corresponden con avisos de renovación mensual de diversos depósitos, de fechas 28/07/2000,11/09/2009,12/01/2001. Existen así mismo extractos de estado de posición de determinados fondos de inversión de fechas 03/01/2001, 05/10/2000, 06/07/2009, cinco recibos cargados en cuenta en el año 2009 y extractos de cuenta del año 2009. Es decir, se trata de documentos sueltos de los años 2000, 2001, 2002, 2005 y 2009, siendo el más moderno de fecha 11/09/2009. Todos ellos parecen corresponder con comunicaciones realizadas por la entidad bancaria al titular del producto bancario. Realizado un requerimiento de información a la entidad bancaria ésta ha respondido que los documentos bancarios en el formato en el que se encuentran no pueden volver a ser emitidos por las oficinas, sino que se originan desde el servicio centralizado de correspondencia. Es decir, los documentos no pueden ser impresos de nuevo desde una oficina con ese formato. 2. Con respecto a la documentación correspondiente a la entidad BANKINTER SA. Se aportan un total de 13 documentos bancarios, 7 de ellos del tamaño de un tercio de folio de los que se suelen utilizar para remitir información a los clientes vía correo postal en sobres de dicho tamaño y uno de tamaño folio consistente en un extracto integral mensual de movimientos, también de los que se suele generar automáticamente y mandar al cliente a su domicilio. Estos 8 documentos son de fechas comprendidas entre el 2002 y el 2010. Realizado un requerimiento de información a la entidad bancaria ésta ha respondido que dichos documentos no pueden ser emitidos ni reproducidos en ninguna de las oficinas de la entidad. Indican que es imposible volver a emitir un justificante de cualquier operación con fecha anterior a 2008. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Otros tres documentos consisten en: un listado de posiciones canceladas del 2001, con fecha de emisión 04/03/2011, una consulta de movimientos del 04/03/2002 y una consulta de movimientos de fecha 04/03/2011. Sobre ellos la entidad bancaria ha contestado que la fecha de emisión de los mismos es la que consta en ellos (04/03/2002 y 04/03/2011), y que fueron emitidos por personal de oficina a petición de la propia interesada, si bien no pueden aportar justificación por escrito ya que las solicitudes se realizaron de forma verbal. Por último, los dos últimos documentos se corresponden con justificantes de abonos realizados a la denunciante en marzo de 2002, manifestando los representantes de la entidad bancaria que es imposible reproducir los mismos debido al tiempo transcurrido, por lo que seguramente fueron enviados al domicilio de la interesada en la fecha que se produjo el abono, es decir, en marzo de 2002. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el caso que nos ocupa, la denunciante manifiesta que tanto Bankinter como BBVA han vulnerado el deber de secreto en la medida en que les ha comunicado a sus hijos datos de cuentas de las que únicamente era ella la titular, utilizando sus hijos dichos documentos para presentarlos ante el Juzgado. No obstante, de las actuaciones de investigación practicadas por la agencia se deduce que los documentos aportados por sus hijos en juicio no fueron emitidos por las entidades denunciadas a solicitud de los mismos, sino que, del análisis del formato de la documentación se puede concluir que dichos documentos se enviaron al domicilio de la denunciante (titular de la cuenta) con objeto dar información sobre el extracto integral mensual de movimientos. Dichos documentos no pueden ser emitidos ni reproducidos en ninguna de las oficinas de las entidades. Por tanto, no hay evidencias que permitan señalar que BBVA y que Bankinter hayan revelado datos de la denunciante, y ello se deduce de la inspección practicada por esta Agencia, así como por el hecho de que no se han aportado por la denunciante pruebas que puedan determinar una posible vulneración de la normativa en materia de protección de datos por parte de estas entidades. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que las entidades denunciadas facilitaran a terceros información sobre sus cuentas. IV Por otro lado, Bankinter señala que tres de los documentos, en concreto, un listado de posiciones canceladas del 2001 con fecha de emisión 04/03/2011, una consulta de movimientos del 04/03/2002 y una consulta de movimientos de fecha 04/03/2011, que fueron emitidos por personal de oficina a petición de la propia interesada, si bien no pueden aportar justificación por escrito ya que las solicitudes se realizaron de forma verbal. No obstante, en caso de que por la emisión de estos tres documentos (los únicos que se emitieron desde la oficina y se entregaron en mano) se hubiera vulnerado el deber de secreto por entrega a persona distinta de la denunciante, cabe decir que la posible infracción se calificaría como grave, conforme al artículo 44.3.
- d)“ Son infracciones graves…la vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”, encontrándose prescrita conforme al artículo 47 de la LOPD “Las infracciones muy graves prescribirán a los tres años, las graves a los dos y las leves al año”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 IV A la vista de las consideraciones precedentes y toda vez que hay una falta de pruebas que acrediten los hechos atribuidos BBVA y a Bankinter, debe concluirse que no existe prueba de cargo suficiente para imputar a las citadas entidades la comisión de una infracción del artículo 10 de la LOPD, por lo que procede acordar el archivo de las actuaciones previas. V Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BANKINTER SA., BANCO BILBAO VIZCAYA ARGENTARIA SA y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es