E-02711-2014

1/7 Expediente Nº: E/02711/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BARCLAYS BANK, S.A.U., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 05/02/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo la denunciante) en el que relata que BARCLAYS BANK, S.A.U., (en lo sucesivo la denunciada o BARCLAYS) ha hecho uso de manera ilegítima de sus datos de carácter personal al haber adquirido a su nombre “unos bonos auto cancelables de altísimo riesgo” sin que hubiera mediado consentimiento expreso o autorización alguna por su parte. Aporta con su denuncia una copia de los escritos que dirigió a la entidad denunciada el 19/11/2013, 13/12/2013 y el 01/01/2014 requiriéndole la entrega de la documentación relativa a las órdenes de compra que amparasen la adquisición en su nombre de los mencionados bonos. Posteriormente, en el trámite de subsanación de la denuncia, ha aportado a la AEPD copia de los Autos Judiciales dictados por el Juzgado de Instrucción número 51 de Madrid el 29/04/2014 y 30/05/2014, recaídos en las Diligencias Previas de Procedimiento Abreviado ****/2013 y ****/2014, respectivamente, que versan sobre la admisión a trámite de la querella interpuesta por la denunciante contra BARCLAYS por presuntos delitos de apropiación indebida, administración desleal y falsedad en documento mercantil, y sobre la procedencia de la fianza que BARCLAYS constituyó para cubrir sus responsabilidades civiles, que el Auto Judicial de 21/05/2014 fijó en 62.000 €. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar investigaciones para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 5 de febrero de 2014, escrito presentado por Dª A.A.A. (en adelante denunciante), y con fecha de 18 de junio de 2014 subsanación del mismo, en los que denuncia a la entidad BARCLAYS BANK, S.A.U. (en adelante BARCLAYS) manifestando que han utilizado de manera arbitraria y plenamente irregular varios depósitos de dinero de los que es titular usando sus datos de carácter personal, sin que haya mediado consentimiento expreso o autorización alguna por parte de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Añade que todo ello le ha provocado su lesión por el uso de sus datos sin la debida autorización, que prevaliéndose de dicha actuación, se le ha provocado un grave quebranto económico, consistente en la adquisición a su nombre de unos bonos de altísimo riesgo, que, además, no se corresponde a su perfil de inversor conservador, que huye de todo riesgo, cuya compra no ha sido autorizada ni consentida en algún momento por la misma, que le han producido unas pérdidas de 47.133,53€ y que le deniegan la documentación relativa a las órdenes de compra de dichos bonos. Con la denuncia se aportan diversos escritos remitidos por la denunciante a la entidad financiera, en los que manifiesta los mismos hechos que los comunicados ante esta AEPD y escrito de acuse de recibo del Servicio de Atención al Cliente de la entidad financiera de fecha 10 de enero de 2014. También, se adjunta AUTO del Juzgado de Instrucción nº 51 de Madrid, Diligencias Previas procedimiento abreviado ****/2013, de fecha 29 de abril de 2014, por el que se admite a trámite la querella presentada por la denunciante contra la entidad BARCLAYS por los presuntos delitos de apropiación indebida, administración desleal y falsedad en documento mercantil. Si bien, la denunciante no ha aportado documentación acreditativa de los hechos denunciados. Con fecha de 2 de septiembre de 2014, se procede a la asignación de las actuaciones con referencia E/2711/2014 al inspector que suscribe el presente informe. ACTUACIONES PREVIAS DE INSPECCIÓN 1. La Inspección de Datos ha requerido a la denunciante diversa información y documentación en relación con los hechos comunicados en su escrito de denuncia como acreditación documental de los mismos y situación del procedimiento judicial habiendo dado respuesta, con fecha de 25 de septiembre de 2014, en los siguientes términos: Que tuvo conocimiento que utilizando sus datos de carácter personal se habían adquirido a su nombre y sin su autorización determinados bonos que a su amortización generaron pérdidas a saber: Bono Auto cancelable Ferrovial, Telefónica: contratado el 7 de agosto de 2007 por 55.000€ y que a su vencimiento el 12 de agosto de 2009 se generó una minusvalía de 32.892,70€. Bono Auto cancelable TEF, IBE, REN: se contrató el 29 de septiembre de 2008 por 50.000€ y que a su vencimiento el 5 de octubre de 2009 se generó una minusvalía de 14.240,83€. Se aporta documento de la entidad BARCLAYS denominado Comunicación de clientes de fecha 27 de julio de 2007 firmado por la denunciante en el que se indica Detalle de la orden o solicitud: suscribir bonos (…) y Providencia del Magistrado-Juez del Juzgado de Instrucción nº 51 de Madrid, Diligencias Previas Procedimiento Abreviado ****/2014, de fecha 5 de junio de 2014, mediante la que se señala el día 25 de junio para la presentación de diversa documentación por parte de BARCLAYS. También se aporta duplicado del documento emitido por BARCLAYS Relación de operaciones de Renta fija efectuadas en el año 2009, remitido a la afectada, en el que se relacionan operaciones de adquisición y enajenación de productos. 2. La compañía BARCLAYS ha remitido a la Inspección de Datos, con fecha de 23 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 septiembre de 2014, en relación con el tratamiento de los datos de la denunciante sin su consentimiento el escrito dirigido al Juzgado de Instrucción 51 de Madrid, Diligencias Previas ****/2014, mediante el que aporta la información y documentación requerida en el que se alega lo siguiente: Que la denunciante decidió invertir en bonos y para ello suscribió un Contrato de depósito y administración de valores (una cuenta valores), en fecha 27 de julio de 2007, tal apertura no tiene sentido si no es para adquirir los bonos que ahora niega, cuya copia adjuntan. También, aportan la orden de compra del primer bono con la firma de la denunciante Comunicación de clientes, de fecha 27 de julio de 2007, que coincide con el aportado por la denunciante. Que no contrató la denunciante solo los dos bonos a los que se refiere la querella sino seis y todos ellos se depositaron en la cuenta de valores abierta el mismo día 27 de julio de 2007. Que la denunciante suscribió Contrato Básico para la Prestación de Servicios de Inversión a Clientes Minoristas, de 31 de marzo de 2008, este tipo de contrato es únicamente firmado, como es lógico, por quien realiza operaciones de inversión, su objeto no es otro que establecer los términos y condiciones básicas aplicables a los Servicios de Inversión que la entidad presta a sus clientes. Que tras firmar las órdenes de compra de los seis bonos, en julio de 2007, mayo de 2008 y septiembre de 2008 se realizaron los correspondientes cargos en la cuenta corriente de la denunciante sin que comunicara su disconformidad o protestara por tales cargos. Que siempre la denunciante mantiene el mismo esquema inversor, con el dinero que desinvierte, adquiere poco después otros productos, omite deliberadamente que tras el ingreso del dinero procedente de la cancelación de los bonos, adquirió otro producto. Que la denunciante recibió la información de las retenciones que practicaba la entidad financiera sobre dichas cantidades, información que lógicamente también se remitía a la Agencia Estatal de Administración Tributaria, así como de los extractos integrales mensuales y se adjunta Extracto de la cuenta de agosto de 2007, en el que constan los dos cargos. Que la denunciante no se quejó de los productos adquiridos (de los saldos negativos y positivos) hasta después de más de siete años de la contratación del primer producto y que a día de hoy sigue siendo cliente del Banco e invierte en productos con riesgo, prueba de ello son las recientes órdenes de operaciones de abril de 2013 y mayo de 2014.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 II La LOPD en su artículo 6, bajo la rúbrica “Consentimiento del afectado”, consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones citadas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular del que se dispensa al responsable del fichero -entre otros supuestos previstos en la LOPDcuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Esto, porque el consentimiento al tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente en la medida en que el referido tratamiento sea preciso para la ejecución del contrato y siempre que quien facilita los datos personales con ocasión de la contratación sea efectivamente su titular. La LOPD tipifica la vulneración del principio del consentimiento (artículo 6) como infracción grave en su artículo 44.3.b). III La denuncia que examinamos versa sobre la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999 que la denunciante atribuye a BARCLAYS. Infracción que, según expone, se materializó en el tratamiento de sus datos personales sin su consentimiento asociados a la contratación a su nombre de dos productos financieros. Los productos financieros presuntamente contratados sin su consentimiento son –tal y como detalla en su escrito de alegaciones de 25/09/2014- el “Bono Auto cancelable Ferrovial, Telefónica”, contratado el 07/08/2007 y con vencimiento el 12/08/2009; y el “Bono Auto cancelable TEF, IBE, REN”, contratado el 29/09/2008 con vencimiento en octubre de 2009. El núcleo de la controversia suscitada entre la denunciante y BARCLAYS es si la primera había consentido o no la contratación a su nombre y con sus fondos de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 bonos mencionados. Ahora bien, incluso en la hipótesis de que llegara a acreditarse que la denunciante no otorgó el consentimiento a la citada contratación, de modo que BARCLAYS hubiera incurrido en una infracción del artículo 6.1 de la LOPD, ninguna responsabilidad sancionadora cabría exigirle por estos hechos pues la presunta infracción de la LOPD estaría prescrita. En este sentido el artículo 47 de la LOPD, relativo a la “Prescripción”, establece: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” Tomando en consideración que el presunto tratamiento de los datos de la denunciante por parte de BARCLAYS, concretado en la adquisición a su nombre y sin su consentimiento de dos productos financieros, habría acontecido el 07/08/2007 y 29/09/2008, hay que concluir que en la fecha en la que la denuncia entró en el Registro de la AEPD, el 05/02/2014, se había cumplido el plazo de dos años que el artículo 47.1 de la LOPD fija para la prescripción de las infracciones graves. Es más, incluso si consideramos que el presunto tratamiento sin consentimiento de los datos personales de la afectada se mantuvo durante todo el tiempo en el que los productos financieros estuvieron vigentes, y entendemos con ello que el término inicial del plazo de prescripción debe ser la fecha en la que se produjo el vencimiento de los bonos –el 12/08/2009 y octubre de 2009-, llegaríamos a idéntica conclusión respecto a la prescripción de las presuntas infracciones. De manera que, cualquiera que sea la fecha que se tome como referencia para computar la prescripción, cuando la denuncia que nos ocupa entró en la AEPD, el 05/02/2014, las infracciones de la LOPD que BARCLAYS hubiera podido cometer ya estaban prescritas y, con ello, extinguida la responsabilidad sancionadora que pudiera exigírsele. Con claridad el R.D. 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora (REPEPOS) dispone en su artículo 6: “1. Cuando de las actuaciones previas se concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador.(..)” (El subrayado es de la AEPD) IV Sin perjuicio de lo expuesto en los párrafos precedentes parece conveniente hacer algunas precisiones a los efectos oportunos. En primer lugar, recordar cuál es el ámbito al que se circunscribe la LOPD y al que se extienden las funciones que al amparo de la citada norma corresponden a la AEPD. Recordatorio necesario a la vista de los términos en los que la denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 plantea su denuncia, con continuas referencias a las pérdidas patrimoniales que la gestión de BARCLAYS le habría deparado. En este sentido el artículo 1 de la LOPD establece que “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. Y el artículo 2.1 añade: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado” (el subrayado es de la AEPD). En la misma línea debe indicarse que el artículo 19 de la LOPD prevé que la acción para exigir indemnización por los daños y perjuicios derivados de la infracción de la LOPD deberá ejercitarse ante los órganos de la jurisdicción ordinaria. En segundo término - y pese a que como se ha expuesto con claridad la infracción de la LOPD en la que pudiera haber incurrido BARCLAYS estaría prescrita y, por consiguiente, extinguida toda responsabilidad sancionadora- parece conveniente poner de relieve que en el caso de que la presunta infracción no hubiera prescrito la AEPD vendría obligada a acordar la suspensión del procedimiento administrativo sancionador eventualmente seguido por tales hechos hasta tanto no se hubiera resuelto el procedimiento penal, habida cuenta de la estrecha vinculación que existe entre los hechos denunciados y el objeto del proceso penal instado por la denunciante contra BARCLAYS. Además, la AEPD vendría obligada a aceptar como ciertos los hechos que se declarasen probados por la resolución judicial penal que devenga firme en el Procedimiento Abreviado ****/2013. Así se infiere de lo establecido en el artículo 7 del REPEPOS, “ Vinculaciones con el orden jurisdiccional penal”, que señala: “1.En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto a la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme, vinculan a los órganos administrativos respecto de los procedimientos sancionadores que sustancien.” (El subrayado es de la AEPD) A la luz de las consideraciones expuestas se concluye que ninguna responsabilidad es exigible a BARCLAYS por los hechos sobre los que versa la denuncia, debiendo acordar el archivo de las presentes actuaciones. Como se ha indicado, incluso en la hipótesis de que los hechos que se someten a nuestra consideración fueran constitutivos de una infracción de la LOPD, tal infracción habría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 prescrito por el transcurso del plazo de dos años fijado por el artículo 47.1 de la LOPD y, por ello, extinguida la responsabilidad sancionadora en la que pudiera haber incurrido la entidad denunciada. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a BARCLAYS BANK, S.A.U., y a D. ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es