E-02745-2015

1/6 Expediente Nº: E/02745/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades BARCLAYS BANK, S.A., y CAIXABANK, S.A., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de febrero de 2015, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que declara lo siguiente: “En el mes de febrero de 2014 un amigo, M.M.M., a quien le ayudo con los temas fiscales de sus empresas, me manifestó que había comprado, a un chatarrero, un archivador para su empresa y que dentro de uno de sus cajones había encontrado un listado de 120 páginas con información muy variada. Al enseñarme físicamente el listado y después de algunas comprobaciones, llegamos a la conclusión de que dicho listado correspondía a la entidad Barclays Bank y concretamente a la oficina 3 de Madrid, sita en la calle (C/..........1). Procedí a llamar a la oficina central de la mencionada entidad para que me pusieran en contacto con una persona a la cual informar sobre la información encontrada, pero en la oficina central lo único que se me indicó es que, enviara una comunicación vía e-mail para lo cual se me proporcionó una dirección. Siguiendo estas indicaciones, el día 4 de marzo de 2014, envié una carta a serviciodeatencionalcliente@barclays.es informándoles sobre la existencia del listado, con indicación de mi nombre mi D.N.I y mi dirección de correo electrónico, por si lo consideraban de interés se pusieran en contacto conmigo. Transcurrido un tiempo sin recibir respuesta, el día 27 de marzo 2014 les envié un nuevo correo ratificándoles mi correo del día 4 de marzo, del que tampoco tuve ninguna respuesta, por lo que iba a proceder a enviar dicho listado, o al menos, a ponerlo en conocimiento de la Agencia Española de Protección de Datos tal y como lo había manifestado en mi escrito. En lugar de que el banco se pusiera en contacto conmigo, lo que recibí fue una notificación de Juzgado de Instrucción 8 de Madrid, por el que se me citaba en calidad de imputado en un delito de Extorsión bajo la referencia Diligencias Previas Proc. Abreviado *****/2014. En el Auto dictado con fecha 22 de julio 2014 el Juzgado acordó el Sobreseimiento Provisional y el archivo de la causa, Auto al que se opone la representación del Barclays Bank S.A.U. por lo que el Juzgado me cita para que nuevamente comparezca el día 15/01/2015 y haga entrega del original del listado y de la dirección de la persona que encontró el listado. Hecha la comparecencia he procedido a hacer entrega del mencionado listado y a comunicar la dirección de la persona que lo encontró. En dicha comparecencia he querido dejar constancia, y así se hizo, que pondría en conocimiento de la AEPD de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 esta circunstancia, por si la AEPD consideraba que dicha institución bancaria incurrió en alguna falta en la custodia de la información tal y como lo determina la preceptiva Ley. Según mi apreciación, la mencionada institución bancaria, tratando de evitar cualquier sanción, por incumplimiento del Art 9 de la Ley Orgánica de Protección de Datos de Carácter Personal sobre el principio de "seguridad de los datos", presento demanda contra mi tratando de justificar su negligencia y así obtener el listado en la forma que lo ha pedido al Juzgado, por lo que dicho listado ha quedado allí a disposición de lo que el Juez determinePor lo expuesto estimo que debe ser la AEPD quien debe estar informada del hecho. Acompaño la diligencia en la que se hizo la entrega del listado al juzgado.” Con fecha 13 de marzo de 2015, el Director de la Agencia Española de Protección de Datos firmó el archivo de la denuncia al no haber presentado el denunciante copia del listado. Con fecha 20 de abril de 2015, el denunciante presentó Recurso de Reposición adjuntando copia del listado objeto de su denuncia, en el cual se comprueba que el listado es de fecha 29 de noviembre de 1998. El Director de la Agencia estimó el citado recurso y se iniciaron actuaciones de investigación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 20 de mayo de 2015, se solicitó información a Barclays Bank, S.A., relativa al procedimiento implantado en el banco para evitar hechos como el denunciado; así mismo se solicitó copia del documento de seguridad relativo a la destrucción de documentación, copia de las instrucciones facilitadas a los empleados sobre cómo actuar para destruir documentos en papel, motivo por el cual el chatarrero tuvo acceso a esa información y copia de documentación asociada a los hechos denunciados en el caso que el banco hubiese tenido conocimiento de ellos anterior a la recepción de la solicitud de la Agencia Española de Protección de Datos. La carta fue devuelta con la leyenda “desconocido”. 2. Con fecha 24 de junio de 2015, se vuelve a solicitar la información citada anteriormente a Caixabank, SA. Con fecha 14 de julio de 2015 se recibió escrito de respuesta del que se desprende lo siguiente: - Manifiestan que en el listado adjunto a la solicitud de información no aparece información respecto de la entidad bancaria emisora del mismo. - Que no han podido identificar el origen del listado ni reconocerlo como emitido por esa entidad. - Que el listado identifica una sucursal “oficina 003 Madrid, Ag. 3;, manifiestan que Caixabank no tiene oficina en Madrid numerada con el 003. - No obstante lo anterior, aportan el procedimiento implantado por el banco para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 evitar hechos como el denunciado así como copia del documento de seguridad relativo a la destrucción de la documentación. 3. Con fecha 17 de julio de 2015, se vuelve a solicitar la información citada anteriormente a Caixabank, S.A., matizando en el escrito de solicitud que la entidad denunciada es Barclays Bank y que la oficina 003 hace referencia a la misma. Con fecha 13 de agosto de 2015 se recibió respuesta y de la misma se desprende lo siguiente: - Manifiestan que el 11 de mayo de 2015 se otorgó escritura de fusión por absorción mediante la cual “Caixabank, S.A.” absorbió a Barckays Bank, S.A.U., adquiriendo por sucesión universal y en bloque, todo el patrimonio. - Desde que Caixabank adquiere el control de Barckays Bank S.A.U., no les consta haber llevado a cabo, por parte de Caixabank, ninguna gestión relativa a la retirada de mobiliario de la oficina referenciada en el escrito. - A fecha de su escrito, no han tenido conocimiento de que el chatarrero haya accedido a la documentación. Tampoco ha tenido conocimiento de estos hechos más allá de lo recibido por la Subdirección de Inspección. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En este caso, los hechos expuestos, en relación con el abandono en un archivador entregado a un chatarrero, de documentación que pudiese ser responsabilidad del denunciado, en la que se contienen datos personales de antiguos clientes, podrían suponer la comisión, por parte del mismo, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “ El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 91, 92.4 y 97.2, que establecen lo siguiente: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.
2. h)de la LOPD, que considera como tal, “ Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. III Por otra parte, los hechos expuestos, en relación con el acceso por parte de un tercero a los datos personales contenidos en la documentación perteneciente al denunciado abandonada, podría suponer la comisión por el mismo, de una infracción del artículo 10 de la LOPD, según el cual “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, que aparece tipificada como grave en el artículo 44.3.
3. d)de dicha norma, que califica como tal “la vulneración del deber de guardar secreto acerca del tratamiento de sus datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con lo expuesto, los hechos que podrían fundamentar ambas infracciones son los mismos, por lo que nos encontraríamos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Esto es, del abandono de documentación, que podría suponer una infracción de las medidas de seguridad, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procedería subsumir ambas infracciones en una. En este caso las dos infracciones se tipifican como graves, por lo que corresponde considerar únicamente la infracción del artículo 9 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. IV Durante las actuaciones previas de investigación se ha verificado que Caixabank tiene incorporadas las medidas de seguridad adecuadas para la destrucción de documentos. Por otro lado, el listado aportado por el denunciante es una “Relación de clientes ordenados alfabéticamente”, de fecha 28 de noviembre de 1998, carente de anagramas bancarios o de cualquier empresa, y con la referencia “Oficina: 0003. Madrid, Ag.3”. Caixabank ha expuesto que la numeración de oficina 3 corresponde a una sucursal situada en Tárrega (Lleida). Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que “Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En este sentido y para este caso, se ha de tener en consideración que al tratarse de un listado sin referencia alguna al Banco o entidad responsable de su custodia; además de tener una antigüedad de más de 16 años, resulta imposible identificar al presunto responsable de la conducta reprochada. Por lo que la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción por parte del Banco denunciado. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BARCLAYS BANK, S.A., CAIXABANK, S.A., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es