E-03833-2016

1/7 Expediente Nº: E/03833/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad UNOE BANK, S.A., (Banco Bilbao Vizcaya Argentaria, S.A./ BBVA) en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 06/05/2016 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que el 05/11/2015 recibió una carta de UNOE BANK, S.A., (en adelante UNOE o la denunciada) en la que le atribuyen la titularidad de una cuenta bancaria abierta en la entidad y de una tarjeta de crédito cuando, según sus declaraciones, "en ningún momento ha firmado nada" con dicha entidad ni es cliente suyo. A juicio del denunciante UNOE "está utilizando sus datos para obligarle a remitirle" la documentación exigida por la Ley 10/

1. El denunciante recibió una nueva carta de UNOE, que lleva fecha de 26/04/2016, en la que reiteran la petición de envío de la documentación requerida en el anterior escrito. Aporta copia de dos cartas de fechas 17/10/2015 y 26/04/2016, respectivamente, remitidas por UNOE a su nombre y a su domicilio. En la primera se indica que, en relación al contrato de cuenta número C.C.C. y al contrato de tarjeta número B.B.B., debe remitir determinados documentos en cumplimiento de las previsiones de la Ley 10/2010, de prevención del blanqueo de capitales y la financiación del terrorismo. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos realizó actuaciones de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos: - El Boletín Oficial del Registro Mercantil (BORME) número 239 de 19/12/2016 publica la fusión de BANCO BILBAO VIZCAYA ARGENTARIA, S.A., y UNOE BANK, S.A., siendo la primera la entidad absorbente. Las referencias que se haga a UNOE deben entenderse hechas a BBVA. - UNOE BANK, S.A., en respuesta al requerimiento informativo de la Inspección ha manifestado que los datos del denunciante se encuentran registrados en los sistemas de la entidad. A tal fin aporta una impresión de pantalla en la que constan los siguientes datos del denunciante: nombre, apellidos, NIF, domicilio fiscal, estado civil, lugar de nacimiento y número de personas a su cargo. - Aporta una impresión de pantalla de sus ficheros que refleja los productos que están asociados al denunciante: * “AH - AHORRO” con número de cuenta asociado D.D.D. en estado “CACELAD”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 * “ST - SERVICIO” con número de cuenta asociado G.G.G. en estado “CACELAD”. * “TJ - CONTRATO” con número de cuenta asociado F.F.F. en estado “CACELAD”. *TC - PLÁSTICO” con número de cuenta asociado E.E.E. en estado “CACELAD”. - En relación a las facturas emitidas y a las comunicaciones y contactos que hayan existido entre UNOE y el denunciante, declara: “no existen posiciones del denunciante en los sistemas de mi representada ya que no se llegó a firmar el contrato por parte del denunciante. Por tanto, no se formalizó.” - En respuesta a la solicitud de la Inspección de Datos para que remitiera a la AEPD una copia del contrato suscrito por el denunciante indicó que “Respecto a la copia del contrato, mi patrocinada no dispone del mismo debido a que el cliente no devolvió firmado dicho contrato”. Y termina sus alegaciones afirmando: “Les informamos que no existe contratación ya que la cuenta nunca llegó a activarse”. - Aporta copia de los siguientes documentos: a. Hoja de reclamación del denunciante ante la Junta de Andalucía, con sello de presentación en el Ayuntamiento de Utrera el 04/05/2016, en la que solicita la ayuda del organismo o institución competente para que UNOE cancele sus datos personales ya que “nunca he sido cliente suyo ni nunca he firmado ningún contrato”. b. Escrito del denunciante presentado en Banco Bilbao Vizcaya Argentaria, Servicio de Atención al Cliente, de fecha 24/05/2016, en el que relata los mismos hechos sobre los que versa la denuncia presentada en la AEPD y solicita la cancelación de sus datos personales tanto de UNOE como de BBVA. c. Escrito que el Servicio de Atención al Cliente (SAC) de UNOE dirige al denunciante el 10/6/2016 comunicándole que ha solicitado información adicional para realizar un estudio completo de los aspectos que fundamentan su reclamación. d. Escrito dirigido al denunciante por el SAC de UNOE, de fecha 16/06/2016 , en el que le comunican que han comprobado que la cuenta que menciona en su reclamación se solicitó el 20/07/2010 “pero que la cuenta y la tarjeta vinculada nunca llegaron a activarse, puesto que al tratarse de un banco que opera por internet , cuando se solicita la apertura de una cuenta, para que la misma se active y sea operativa es necesario que previamente el banco reciba la documentación requerida y el contrato firmado, sin que nunca llegara a enviarlo”. Además le confirman que “actualmente ya no figura ninguna cuenta solicitada pendiente de tramitar” y que sus datos personales han sido dados de baja de los registros de UNOE. “Hemos comprobado que la cuenta que referencia en su escrito se solicitó el 20 de julio de 2010, pero la cuenta y la tarjeta vinculada a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 misma nunca llegaron a activarse, puesto que al tratarse de un banco que opera por internet, cuando se solicita la apertura de una cuenta, para que la misma se active y sea operativa es necesario que previamente el banco reciba la documentación requerida y el contrato firmado, sin que nunca llegara a enviarlo. Por ello, le pedimos disculpas por el malestar que este asunto la ha estado ocasionando, y le confirmamos que actualmente ya no figura ninguna cuenta solicitada pendiente de tramitar. Igualmente nos indican que ya le han informado por escrito de que ya han sido dados de baja sus datos personales de nuestros registros según L.O.P.D.” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “
2. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
3. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El artículo 6.1 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos conforme al cual el tratamiento de datos sin consentimiento de su titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. III Centrándonos en la cuestión planteada por el denunciante parece necesario comenzar haciendo mención a dos cuestiones relevantes: Una de ellas, que UNOE es una entidad financiera que opera, operaba, on line, circunstancia que da lugar a ciertas particularidades en el protocolo seguido para la contratación de sus productos como es que, recabados vía internet los datos personales de quien se postula como futuro cliente por estar interesado en un determinado producto o servicio, el contrato no despliega su eficacia hasta que la entidad haya recibido físicamente copia de los documentos que acrediten su identidad y el documento contractual en soporte papel debidamente firmado por el contratante. Otra cuestión relevante a los efectos que nos ocupa es que, como consta acreditado, en los ficheros de UNOE estaba registrada una prolija información personal del denunciante. Además de su nombre y dos apellidos, figuraba su NIF, la fecha de nacimiento, el estado civil, si tenía o no hijos o personas a su cargo, y su domicilio fiscal, que coincide con el que el denunciante ha facilitado a la AEPD en su escrito de denuncia. Tan numerosos datos personales del denunciante difícilmente los ha podido obtener la entidad responsable del fichero si no es mediante la cumplimentación, por el propio titular, de un cuestionario. A ese respecto hemos de recordar que el SAC de UNOE afirma en la carta que envió al denunciante el 16/06/2016 -de la cual ha facilitado a la AEPD una copia con su respuesta al requerimiento informativo de la Inspección de Datos- que aquél cumplimentó en fecha 20/07/2010 una solicitud de cuenta bancaria con la entidad financiera, quien le asignó entonces el número de referencia C.C.C. que aparece en la carta de fecha de 17/10/2015 que envió al denunciante pidiéndole que aportara ciertos documentos e información exigidos por la Ley 10/2010; carta que está en el origen de la presente denuncia. Las circunstancias precedentes son indicios razonables suficiente para concluir que los datos personales del denunciante que obraban en los ficheros de UNOE fueron facilitados a la entidad por su titular en el año 2010, con ocasión de haberse interesado por la apertura de una cuenta con ella y haber cumplimentado a tal fin un cuestionario en el que incluyó sus datos. A través de esta vía el denunciante habría otorgado su consentimiento inequívoco a UNOE para el “tratamiento” de sus datos personales. Tratamiento que la LOPD define en el artículo 3.c como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias” Recordemos que la LOPD se limita a exigir que el consentimiento para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 tratamiento de los datos sea “inequívoco” (ex artículo 6.1 ) y que es doctrina reiterada y consolidada de la Sala de lo contencioso administrativo de la Audiencia Nacional que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito (SSAN de 01/02/2006, Rec.250/2004, y de 20/09/2006, Rec. 626/2004), e igualmente que tal consentimiento se puede producir de forma expresa -oral o escrita- o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos, es decir, por actos presuntos, o por el silencio del afectado, consentimiento tácito (o impropiamente llamado silencio positivo), como dice la SAN de 14/04/2000, Rec. 103/1999). En el Derecho Administrativo sancionador están vigentes -con alguna matización pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el artículo 24.2 de la Constitución Española, que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. Nos remitimos a tal fin a la Sentencia del Tribunal Constitucional, 76/
4. También a la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público en cuyo artículo 28 se establece que Así pues, a la luz de la exposición precedente, en el presente asunto, se aprecia la concurrencia de indicios razonables de que el denunciante había otorgado a UNOE su “consentimiento al tratamiento de sus datos personales” cuando, con ocasión de haber realizado vía on line, en el año 2010, una solicitud de cuenta bancaria en esa entidad financiera, le proporcionó sus datos personales. Por tanto, el tratamiento de los datos del afectado que UNOE ha efectuado sería legítimo y estaría amparado en el previo consentimiento inequívoco de su titular (ex artículo 6.1 LOPD) IV Llegados a este punto se ha de advertir que el “consentimiento al tratamiento” de los datos personales y el “consentimiento a la contratación” no son términos equivalentes. Si bien este último lleva implícito el primero, circunscrito al desenvolvimiento del negocio jurídico (ex artículo 6.2 LOPD), el hecho de afirmar que el titular de los datos consiente el tratamiento por un tercero nada tiene que ver con el consentimiento otorgado a una hipotética contratación. Como se ha indicado, existen indicios razonables de que el denunciante prestó su “consentimiento al tratamiento de sus datos personales” por parte de UNOE. Tratamiento materializado, a tenor de la documentación que obra en el expediente, en la recogida de los datos por la entidad, la conservación en sus ficheros y el envío al titular de las cartas de fechas 17/10/2015 y 26/04/2016 que han motivado la denuncia que nos ocupa. Este tratamiento de los datos personales del denunciante sería legítimo y ajustado a Derecho de acuerdo con el artículo 6.
5. LOPD. Ahora bien, el denunciante atribuye a UNOE un tratamiento consistente en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 contratación a su nombre de dos productos financieros: una cuenta bancaria y una tarjeta. Pese a la afirmación del denunciante de que existe una contratación a su nombre de ciertos productos por la entidad financiera contra la que dirige la denuncia, lo cierto es que carecemos de índicos que confirme la pretendida contratación de UNOE con el afectado de una cuenta bancaria y/o una tarjeta. De existir tal tratamiento UNOE estaría obligada a acreditar el consentimiento del denunciante pues, con arreglo a las normas que rigen en materia de carga de la prueba, negada la contratación por el titular de los datos sería la entidad denunciada quien vendría obligada a probar el consentimiento prestado para que sus datos fueran objeto de tratamiento con tal fin. La única referencia a esas supuestas contrataciones aparece en las cartas que la denunciada envió al denunciante el 17/10/2015 y el 26/04/2016, en las que se refiere a él como “titular” de una cuenta y una tarjeta. Estas expresiones e incluso el hecho de que sus datos se vinculen formalmente con un número de cuenta bancaria no implican, en ningún caso, que exista un contrato entre ambos del que deriven obligaciones a cargo de ambas partes. Como ha explicado UNOE en sus alegaciones -y así lo confirma el modus operandi que este tipo de entidades siguen para la contratación on line de sus servicios y productosla apertura de cuentas bancarias mediante la contratación vía internet exige que quien pretenda contratar facilite primero sus datos cumplimentando un cuestionario y posteriormente, efectuar diversos trámites para que la entidad confirme la identidad de quien desea contratar con ella y la veracidad de la información personal facilitada, y que se remita a la entidad el documento contractual, en soporte papel, debidamente firmado. Trámites a los que se condiciona la eficacia del negocio jurídico en cuestión. El único tratamiento de los datos personales del denunciante realizado por UNOE del que tenemos constancia documental ha sido respetuoso con la normativa de protección de datos y encuentra su legitimación en el consentimiento otorgado por el titular al solicitar en el año 2010 a la entidad financiera la contratación de una cuenta, lo que implicó, con carácter previo, que le proporcionara sus datos personales (ex artículo 6.1 de la LOPD). Por último, debemos destacar que, como notificó la denunciada al afectado en su carta de 16/062016, ha procedido a cancelar sus datos de los ficheros de la entidad. En consideración a lo expuesto, se acuerda el archivo de las actuaciones de investigación efectuadas en el marco del E/03833/
6. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a UNOE BANK, S.A., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en losartículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es