E-02817-2015

1/7 Expediente Nº: E/02817/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el BANCO DE SABADELL S.A., y en consideración a los siguientes HECHOS PRIMERO: Con fecha 08/05/2014 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. y D.ª B.B.B. en el que denunciaban al BANCO DE SABADELL, S.A., por revelar datos de carácter personal, habida cuenta de que al utilizar la aplicación móvil del Banco que permite hacer transferencias telemáticas por esa vía se generaba un comprobante de la transferencia – comprobante que ellos remitían al beneficiario de la transferencia para acreditar que se había practicado- que informaba del saldo de su cuenta bancaria. El Director de la AEPD, en resolución de 15/12/2014, recaída en el E/4760/2014, ante la ausencia de indicios razonables que evidenciaran la existencia de una infracción de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, al amparo del principio de presunción de inocencia, acordó archivar la denuncia formulada y no incoar actuaciones inspectoras. La resolución de archivo fue recurrida en reposición (RR/00092/2015), en cuyo escrito de interposición los recurrentes manifestaron que el comprobante de la transferencia que remitían a los beneficiarios de aquella se generaba por la propia aplicación del BANCO DE SABADELL, S.A., y que la aplicación no permitía tener acceso al comprobante de la transferencia bancaria y conocer así la información que en él se facilitaba. El Director de la AEPD dictó resolución el 14/05/2015 en la que estimó el recurso de reposición interpuesto contra la resolución recaída en el E/4760/2014; declaró la caducidad del citado expediente E/4760/2015 y ordenó a la Subdirección General de Inspección de datos la apertura de actuaciones de investigación tendentes al esclarecimiento de los hechos en el marco del E/02817/2015. SEGUNDO: En cumplimiento de lo acordado por el Director de la AEPD, la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación cuyas conclusiones se recogen en el Informe que seguidamente reproducimos: <<ACTUACIONES PREVIAS Los representantes de Banco Sabadell S.A. manifiestan que el servicio de Banca a Distancia a través de teléfono móvil, permite a sus usuarios compartir pantallas con el objeto de aclarar o comentar con otro usuario algún movimiento realizado en la cuenta. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/7 El sistema advierte a los clientes de las consecuencias de dicha opción mediante aviso en el que se dice textualmente " Esta funcionalidad le permite el envío de información de la pantalla de su Sabadell Móvil a aplicaciones de terceros como el correo, las redes sociales y similar. Asegúrese del contenido que desea publicar y quién podrá visualizar el mismo". El emisor de la transferencia podía comunicar al destinatario la citada emisión por email o mediante la opción de compartir pantalla. En el caso de los reclamantes, se trata de un caso en el que los clientes decidieron comunicar la emisión de la transferencia al destinatario mediante la modalidad de compartir pantalla y, dado que en la pantalla aparecía el saldo, en el momento de compartir pantalla con el destinatario de la transferencia a este le apareció el saldo de la cuenta. En relación con las reclamaciones y contactos, los representantes de la entidad manifiestan que en fecha 7 de enero de 2014 el cliente informó de dicha circunstancia a la oficina, redirigiéndose al mismo al Servicio de Atención al Cliente. Posteriormente se recibió el 28 de febrero de 2014, a través de un despacho de abogados una carta de reclamación en relación a dicha circunstancia en la que exigían una indemnización de 182.000 €, al considerar que se había vulnerado su derecho al honor en 26 ocasiones. Dicha carta fue contestada por el Banco, mediante burofax de fecha 6 de marzo de 2011, solicitando a dicho despacho de abogados que acreditara la representación que decía ostentar y asimismo aportara copia de la reclamación anterior a que se refería en su carta y de la que no tenía constancia el Banco. Acreditada la representación por dicho despacho, mediante burofax de fecha 25 de marzo de 2014, se dio oportuna respuesta a la reclamación planteada. De nuevo en fecha 15 de septiembre de 2014 los clientes vuelven a formular reclamación ante el Servicio de Atención al Cliente, dándose la oportuna respuesta a dicha reclamación mediante escrito de fecha 1 de octubre de 2011. El departamento de Banca Electrónica del Banco, en el mes de enero de 2014 procedió a eliminar la posibilidad de notificar al destinatario de una transferencia, mediante la modalidad de compartir pantalla, con el fin de evitar situaciones como la planteada.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD regula el “Deber de secreto” y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/7 respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El citado precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. A través del deber de secreto que el artículo 10 de la LOPD impone al responsable del fichero se pretende salvaguardar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y, en definitiva, el poder de control o disposición sobre ellos. Deber que conlleva que ni el responsable de los datos almacenados o tratados ni quienes intervengan en cualquier fase del tratamiento puedan revelar o dar a conocer su contenido. La Audiencia Nacional ha considerado que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (SAN de 11/06/2009) y pone el acento en que la infracción del artículo 10 de la LOPD exige una efectiva revelación a un tercero “no legitimado para acceder a tales datos” (por todas SAN de 29/05/2013, Rec. 356/2012) El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, establece que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. Por otra parte, el artículo 3.
2. h)de la Ley Orgánica 15/1999, define el “Consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le conciernan”. III La denuncia que dio lugar a las actuaciones de investigación practicadas en el marco del presente expediente versó sobre una presunta infracción del deber de secreto atribuida al BANCO DE SABADELL, S.A., (en lo sucesivo, BANCO DE SABADELL o la denunciada) materializada en el hecho de que, sin conocimiento y sin consentimiento de D. A.A.A. y D.ª B.B.B., la entidad financiera había dado a conocer, a través de la aplicación informática BS Móviles, a los terceros beneficiaros de las transferencias ordenadas por ellos, el saldo de su cuenta bancaria. Explican que, tras seguir el protocolo marcado por la aplicación BS Móviles para realizar la transferencia, se generaba un comprobante con la opción de enviarlo al destinatario de aquella que incluía el saldo de la cuenta bancaria de los ordenantes y que desde la aplicación móvil no era posible conocer cuál era la información que constaba en el comprobante, por lo que ignoraban que estaban facilitando a terceros el saldo de su cuenta. Explicaron también que tuvieron noticia de este hecho por casualidad, después de que hubieran realizado por esa vía más de veinte transferencias, cuando al no poder remitir el comprobante a uno de los beneficiario se lo reenviaron a su propio correo electrónico teniendo entonces acceso a esa información. Los denunciantes hicieron la siguiente manifestación con el escrito de interposición del recurso: “ …aportamos correos electrónicos anexos números 4 y5 C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/7 incluidos en el acta notarial documento anexo nº1, recibido por parte de uno de los destinatarios de las transferencias mediante el que nos envía el comprobante recibido a su correo electrónico en formato pdf (no modificable) y en el que efectivamente se comunica al beneficiario el importe del saldo de nuestra cuenta”. (El subrayado es de la AEPD) Por otra parte, la documentación aportada revela que la reclamación presentada por los afectados ante el BANCO SABADELL se registró por la entidad con el identificador INCO11826 el 14/01/2015 y que en fecha 28/01/2014 la denunciada les informó que la incidencia había quedado solucionada y que para que los cambios tuvieran efecto debían actualizar la AP. La aplicación del BANCO SABADELL a través de la cual se habría producido, presuntamente, una revelación de datos personales de los denunciantes se corresponde con la versión “2.6”. No obstante, esta versión fue actualizada a raíz de la reclamación que los denunciantes dirigieron al BANCO SABADELL, estando vigente desde el 28/01/2014 la versión “2.7.” Llegados a este punto hay que destacar que la información que la Inspección de la AEPD ha recabado del BANCO SABADELL contradice el relato de hechos de los denunciante. El BANCO SABADELL ha manifestado que el Servicio de Banca a Distancia a través del móvil permite a los usuarios compartir pantallas a fin de que puedan aclarar o comentar con otro usuario algún movimiento realizado y que esta opción se ofrece también cuando se emiten transferencias. La denunciada ha indicado que el sistema advierte a los clientes de las consecuencias que se derivan para ellos de hacer uso de dicha opción a través del siguiente aviso: “Esta funcionalidad le permite el envío de información de la pantalla de su Sabadell Móvil a aplicaciones de terceros como el correo, las redes sociales y similar. Asegúrese del contenido que desea publicar y quién podrá visualizar el mismo ”. (El subrayado es de la AEPD) El BANCO SABADELL ha aportado una impresión de pantalla de un terminal móvil en la que aparece el aviso transcrito y debajo sendas pestañas con la indicación “Cancelar” y “Aceptar”. En definitiva, según las explicaciones ofrecidas por el BANCO SABADELL los denunciantes decidieron libremente compartir con terceras personas la pantalla relativa al comprobante de la transferencia, por lo que no existió una revelación de datos por parte de la entidad sino que fueron los denunciantes quienes prestaron el consentimiento. Estaríamos, según eso, en un tratamiento amparado en el artículo 6.1 de la LOPD que consagra el principio del consentimiento, piedra angular en la construcción del derecho fundamental en la protección de los datos de carácter personal. Consentimiento que como precisa el artículo 3,
3. h)de la LOPD debe ser libre, inequívoco específico e informado. El núcleo de la controversia radica en determinar si la aplicación móvil permitía a los denunciantes, antes de que optaran por “compartir pantalla” – según la expresión empleada por el BANCO SABADELL- o por “utilizar la opción de envío del comprobante” de la transferencia –según su propia expresión- tener acceso a la información incluida en el comprobante que elaboraba C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/7 automáticamente la aplicación, entre esa información la relativa al saldo de su cuenta. Esto, porque la conducta que examinamos podría entrañar una infracción del deber de secreto recogido en el artículo 10 de la LOPD sólo en la hipótesis de que la aplicación no hubiera dado al usuario la posibilidad de visualizar a través de la pantalla del terminal móvil con el resguardo y verificar así que en ella se incluía información confidencial como es el saldo de su cuenta. Sin embargo, esta cuestión capital no ha llegado a determinarse por la Inspección de Datos de la AEPD ni se han obtenido indicios razonables de los que pueda inferirse que la aplicación no otorgaba al usuario la posibilidad de conocer qué datos se incluían en el resguardo que la aplicación generaba. En tanto ese extremo no ha podido verificarse, no cabe sostener, como los denunciantes alegan, que cuando enviaron el comprobante de la transferencia a terceros ignoraban que también les facilitaban información del saldo de su cuenta. Tampoco los documentos aportados por los denunciantes corroboran su versión de los hechos. Cabe citar en tal sentido la declaración notarial efectuada el 15/01/2015 (recogida en el Acta Notarial de Presencia que adjuntan con el recurso) en la que después de manifestar que como clientes de BANCO SABADELL han estado operando con la aplicación para móvil que la entidad pone a disposición de estos añaden: “II Que en dicha aplicación a la hora de generar los justificantes de transferencia (…) para enviarlos a los beneficiarios de dichas transacciones, les llegaban con una serie de datos personales que no procedían, incumpliendo la Ley de Protección de Datos, destacando como uno de ellos el saldo de su cuenta”. (El subrayado es de la AEPD) De modo que ni en el párrafo transcrito ni en ningún otro del Acta Notarial de Presencia existe una manifestación de los denunciantes en el sentido de que carecían de la posibilidad de conocer el contenido informativo del resguardo generado antes de decidir enviarlo al beneficiario de aquella. Así, en el punto IV del Acta Notarial mencionada se indica que “en la cuenta personal de correo electrónico de ambos conservan una serie de “mails” (correos electrónicos) relativos a lo expresado en los expositivos anteriores”. El Acta notarial incorpora una diligencia en la que el Notario accede a la cuenta de correo electrónico de los denunciantes C.C.C. y a la carpeta “Banco” verificando que en ella se guardan una serie de mensajes y correos entre ellos los siguientes: “
4. a)Primer mensaje/correo de fecha 10/01/2014: De BancaOnline, SS.CC (BancaOnline@sabadellatlantico.com) para la cuenta de los requirentes C.C.C., que es un reenvío de otro mensaje/correo efectuado por “5151,Oficina” para “BancaElectrónica, SD.CC” bajo el asunto “RV: BS MÓVIL: Comprobante de Transferencia nacional” A continuación se acompaña imagen del justificante de la transferencia que hizo la requirente con el dato del saldo de su cuenta. Del fragmento del Acta Notarial que se ha transcrito se evidencia que el resguardo de la transferencia que los denunciantes han aportado y que en su momento presentaron al Notario no procede, como habían afirmado en el escrito de recurso, de un tercero beneficiario quien, una vez recibido, se lo habría reenviado a ellos, sino que desde la Oficina 5151 se reenvió a la Banca Electrónica del Sabadell y de allí a la cuenta de los denunciantes. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/7 Las consideraciones precedentes deben conectarse con la vigencia en nuestro Derecho Administrativo sancionador -con alguna matización pero sin excepciones- de los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia, que ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. A la luz de la exposición precedente, habida cuenta de que no se han obtenido indicios razonables de que a través de la aplicación para móviles, y con ocasión de las transferencias que por esta vía ordenaron los denunciantes, el BANCO DE SABADELL hubiera vulnerado el deber de secreto que le impone el artículo 10 de la LOPD, corresponde acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al BANCO DE SABADELL, S.A., a D. A.A.A. y a D.ª B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o, directamente, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es