← España

E-03957-2015

1/8 Expediente Nº: E/03957/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAIXABANK, S.A., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 11/03/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que CAIXABANK, S.A., (en lo sucesivo, CAIXABANK o la denunciada) ha tratado de obligarle -con la amenaza de bloquearle la cuenta corriente- a que le confiera un poder para solicitar en su nombre a la Tesorería General de la Seguridad Social información sobre su actividad económica. Añade que la información que la denunciada pretende obtener nada aporta a la que ya posee sobre él, pues es el único Notario de la localidad y la sucursal de esa entidad lleva veintisiete años solicitando sus servicios profesionales e ingresando sus honorarios en la cuenta que tiene abierta en ella. Advierte también que CAIXABANK recaba su consentimiento a través de un impreso modelizado –“Declaración de datos para la relación de negocios, modelo 5433”- lo que a su juicio evidencia que el suyo no es un caso aislado y que “se propone tener acceso a los datos de la vida laboral de todos sus clientes”, lo que podría constituir una infracción de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal tipificada en el artículo 44.4.a). SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS Con fecha 25/6/2015 se solicita información a CAIXABANK, SA adjuntando copia del documento denunciado. De la respuesta facilitada se deprende lo siguiente: 1. Respecto de la justificación documental que ampare los hechos denunciados manifiestan que las entidades financieras en cumplimiento de lo establecido en la Ley 10/2010 de Prevención de Blanqueo de Capitales y de la Financiación del Terrorismo, están obligadas a aplicar medidas de diligencia debida destinadas a identificar a sus clientes (art. 3 y 4), identificar el propósito e índole de la relación de negocios (artículo 5) y realizar un seguimiento continuo de la relación de negocios (artículo 6). Dentro de la obligación de identificar el propósito e índole de la relación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 negocios recogida en el artículo 5 de la ley, se establece que “los sujetos obligados obtendrán información sobre el propósito e índole prevista de la relación de negocios. En particular, los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptaran medidas dirigidas a comprobar razonablemente la veracidad de la información”. En cumplimiento de esta obligación, CAIXABANK está adherida a un convenio suscrito con la Tesorería General de la Seguridad Social, la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito, cuyo objeto es poner a disposición de los asociados de los firmantes, los datos de la Tesorería General de la Seguridad Social para comprobar la veracidad de la información que las entidades financieras recaban de sus clientes a fin de conocer la naturaleza de su actividad profesional o empresarial. Adjunta copia del convenio citado. La cláusula 4

  1. c)del convenio establece la obligación de recoger la autorización de los clientes para las consultas, así como de mantener esta autorización disponible para la Tesorería General de la Seguridad Social y la propia Agencia Española de Protección de Datos. El formulario objeto de la denunciante tiene como objeto cumplir con esta obligación. 2. Respecto de la información que se facilita a los clientes que deben firmar el documento, manifiestan que se les facilitan verbalmente las explicaciones citadas en el punto anterior. No se facilita información escrita adicional al propio documento ya que la cláusula de autorización ya explica el objeto de la autorización. 3. Respecto de los criterios utilizados para seleccionar a los clientes a los que se les pide la firma del documento, manifiestan que son todos los clientes que mantengan contratos o pretendan contratar con Caixabank. Por ello, a clientes que mantienen relación con la entidad desde antes de la adhesión al convenio con la Tesorería General de la Seguridad Social o sobre los cuales la entidad no dispone de algún dato o información perentorio según los establecido en la Ley 10/2010 de Prevención de Blanqueo de Capitales y de la Financiación del Terrorismo, son llamados por sus gestores para regularizar la situación. Con fecha 29 de julio de 2015 se despacha el presente expediente con el Coordinador de Área quien devuelve el expediente al inspector firmante con fecha 26 de agosto de 2015 para que solicite información a la Tesorería General de la Seguridad Social. Con fecha 26/8/2015 se solicita información a la Tesorería General de la Seguridad Social relativa a la fecha de puesta en funcionamiento del procedimiento informático de solicitud de datos a la Tesorería así como información sobre las consultas realizadas por la Caixa relativas al denunciante. Con fecha 11 de septiembre de 2015 se recibe en la Agencia la respuesta de la que se desprende lo siguiente: - El procedimiento objeto de la solicitud de información consiste en la firma de un Convenio el 17/1/2008 con la Asociación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito sobre la cesión de información. En dicho convenio se trataba de dar cumplimiento a lo establecido en la Directiva 2005/60/CE del Parlamento Europeo y del Consejo, de 26 de octubre, en orden C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 a la adopción de medidas por las entidades financieras para la prevención del blanqueo de capitales, materia que se regularía posteriormente a través de la Ley 20/2010 de 28 de abril, de Prevención de Blanqueo de capitales y de la financiación del terrorismo. - El sistema seguido es que para ser cesionario de los datos proporcionados por la TGSS, cada entidad financiera debería adherirse al mismo a través de un protocolo previsto en su Clausula Séptima que, en el caso de CAIXABANK, SA se llevó a efecto el 24 de marzo de 2014. - Respecto de la información sobre las consultas realizadas por CAIXABANK a los datos el denunciante, no hay ningún acceso de la mencionada entidad a los mismos.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. El artículo 4 de la LOPD, “Calidad de los datos”, establece en su apartado 7 que “Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos”. El artículo 44.4.
  2. a)de la Ley Orgánica considera infracción muy grave “La recogida de datos de forma engañosa o fraudulenta”. El artículo 11 de la LOPD, de la “Comunicación de Datos” dispone: 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  3. a)Cuando la cesión está autorizada en una ley.
  4. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  5. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  6. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  7. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  8. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores.” (El subrayado es de la AEPD) La LOPD recoge el principio del consentimiento en su artículo 6.1 conforme al cual “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. La vulneración de este precepto se tipifica como infracción grave en el artículo 44.3.
  9. b)de la Ley Orgánica. La vulneración del artículo 11.1 se tipifica como infracción grave de la LOPD en su artículo 44.3.k). Por otra parte, el artículo 3
  10. h)de la Ley Orgánica 15/1999 define el consentimiento como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. III La denuncia que nos ocupa versa sobre la solicitud que CAIXABANK ha hecho al denunciante para que le autorice a recabar datos personales que le conciernen de la Tesorería General de la Seguridad Social (TGSS), “bajo la amenaza” –dice- de bloquearle la cuenta abierta en ella. La petición para que consienta el tratamiento de sus datos personales que obran en la TGSS se hizo por CAIXABANK a través de un impreso modelizado -“Declaración/Modificación de datos para la relación de negocios (Modelo 5433)”- cuyo apartado 6 dice lo siguiente: “El declarante manifiesta que ha sido informado por “La Caixa” de que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada, presta su consentimiento expreso a “la Caixa” para que en su nombre pueda solicitar a la Tesorería General de la Seguridad Social dicha información. Los datos obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de “la Caixa” y/o por parte del personal que en ella presta servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal y normativa que la desarrolla”. (El subrayado es de la AEPD). A continuación el documento lleva un recuadro destinado a la firma del titular de los datos precedido de la indicación: “Leído y conforme el declarante” Además, el punto 5 del citado documento señala: “Los datos personales del declarante consignados en el presente documento serán incorporados a un fichero titularidad de “la Caixa”, con domicilio en la Avda. Diagonal 621 08028 Barcelona, para ser tratados con la finalidad de permitir a “la Caixa” el cumplimiento de las obligaciones derivadas de la Ley 10/2010 de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo así como de los contratos que, en su caso, el declarante suscriba y su corrección operativa. El declarante podrá ejercer los derechos de acceso, rectificación, oposición y cancelación de acuerdo con la ley ante el responsable del fichero en la dirección antes indicada”. Resulta pues, que el cliente que recibe el documento de CAIXABANK en el que se pide su autorización para acceder a los datos asociados a él que obran en los ficheros de la TGSS, queda informado con toda claridad de cuál es la finalidad de ese tratamiento: exclusivamente verificar la información facilitada por los clientes, toda vez que las entidades financieras vienen obligadas por la Ley 10/2010, de Prevención del Blanqueo de Capitales a realizar comprobaciones de esa índole. Al hilo de esta cuestión es conveniente recordar que la Ley 10/2010, en relación a las medidas “normales” de diligencia debida que han de observar los sujetos obligados, estipula en su artículo 5 que “Los sujetos obligados obtendrán información sobre el propósito e índole prevista de la relación de negocios. En particular, los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. Dichos procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los clientes de documentos que guarden relación con la actividad declarada o en la obtención de información sobre ella ajena al propio cliente.” El artículo 6 de la Ley 10/2010 exige que las medidas de diligencia se desplieguen de forma continua y precisa que “Los sujetos obligados aplicarán medidas de seguimiento continuo a la relación de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de dicha relación a fin de garantizar que coincidan con el conocimiento que tenga el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el origen de los fondos y garantizar que los documentos, datos e información de que se disponga estén actualizados.” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Por otra parte, el artículo 7 de la Ley 10/2010, relativo a la aplicación de las medidas de diligencia debida, advierte que “Los sujetos obligados deberán estar en condiciones de demostrar a las autoridades competentes que las medidas adoptadas tienen el alcance adecuado en vista del riesgo de blanqueo de capitales o de financiación del terrorismo mediante un previo análisis de riesgo que en todo caso deberá constar por escrito”. CAIXABANK ha manifestado que para dar cumplimiento a las obligaciones impuestas por la Ley de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo está adherida a un convenio suscrito entre la TGSS y la Asociación Española de Banca, la Confederación Española de Cajas de Ahorros y la Unión Nacional de Cooperativas de Crédito (en adelante, el Convenio de Colaboración) cuyo objeto es poner a disposición de los asociados de los firmantes los datos de la TGSS para comprobar la veracidad de la información que las entidades financieras recaban de sus clientes a fin de conocer la naturaleza de su actividad profesional o empresarial. Por su parte, la TGSS, en respuesta al requerimiento informativo de la AEPD, ha declarado que el mencionado convenio sobre cesión de información se firmó el 17/01/2008 y trata de dar cumplimiento a la Directiva 2005/60/CE del Parlamento Europeo y del Consejo, de 26 de octubre, en orden a la adopción de medidas por las entidades financieras para la prevención del blanqueo de capitales, materia que más tarde se regularía por la Ley 10/2010. La cláusula primera del Convenio de Colaboración indica que su objeto es establecer los términos y las condiciones en los que la TGSS y las Asociaciones AEB/CECA/UNACC instrumentarán su colaboración para el buen funcionamiento del “SVFI” (un procedimiento informático mecanizado que permite establecer un proceso diario de solicitud de datos por parte de las Entidades Financieras y de transmisión de información por la TGSS), así como definir sus respectivas responsabilidades. Insiste en que la “cesión de la información procedente de las bases de datos de la TGSS a las entidades miembros de AEB/CECA/UNACC tiene como finalidad exclusiva comprobar la veracidad de la información que las Entidades Financieras recaban de sus clientes, …” . La cláusula cuarta del Convenio de Colaboración, relativa a las obligaciones de la AEB, CECA y UNACC, precisa que estas asociaciones se comprometen a informar a sus asociados (
  11. c)“de que las peticiones que realicen a la TGSS, en todo caso, necesitarán la autorización firmada del interesado, se referirán exclusivamente a personas físicas que inician relaciones de negocio (…) o a personas, respecto de las cuales, transcurrido un tiempo razonable, resulta necesario actualizar su información”. Y estipula también que “Las autorizaciones firmadas por el interesado deberán ser custodiadas por las Entidades Financieras Colaboradoras y entregadas a la TGSS o la Agencia de Protección de Datos cuando lo requieran, en el plazo de diez días a contar desde su solicitud.”(El subrayado es de la AEPD) Asimismo, la TGSS ha aportado a la AEPD copia del protocolo por el cual CAIXABANK, S.A., se adhirió al citado Convenio de Colaboración entre la TGSS, la AEB, CECA y UNACC el 24/03/2014 IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 A través del documento denominado “Declaración/Modificación de datos para la relación de negocios (Modelo 5433)”, CAIXABAK “solicita” al cliente su consentimiento para acceder a los datos que sobre él obran en la TGSS. Como ya se ha indicado este documento tiene un espacio destinado a la firma del interesado. Resulta por tanto que el denunciante, como cualquier otro cliente de la entidad financiera, tenía libertad de firmar o no el documento o lo que es igual era libre para expresar su voluntad a favor o en contra de que la TGSS cediera a CAIXABANK, para la finalidad especificada, datos personales que le conciernen. No es óbice a la libertad del denunciante o de cualquier cliente de CAIXABANK para decidir otorgar o no el consentimiento a la cesión de sus datos personales la circunstancia de que la denunciada le hubiera informado de que si no prestaba la autorización solicitada su cuenta bancaria podría ser bloqueada. A este respecto, la Ley 10/2010 dispone en el artículo 7.3 que “ Los sujetos obligados no establecerán relaciones de negocio ni ejecutarán operaciones cuando no puedan aplicar las medidas de diligencia debida previstas en esta Ley. Cuando se aprecie la imposibilidad en el curso de la relación de negocios, los sujetos obligados pondrán fin a la misma, procediendo a realizar el examen especial a que se refiere el artículo 17. La negativa a establecer relaciones de negocio o a ejecutar operaciones o la terminación de la relación de negocios por imposibilidad de aplicar las medidas de diligencia debida previstas en esta Ley no conllevará, salvo que medie enriquecimiento injusto, ningún tipo de responsabilidad para los sujetos obligados.” (El subrayado es de la AEPD) Debe insistirse en que la exigencia de contar con el consentimiento del titular de los datos como condición indispensable para acceder a aquellos que le conciernen y que obran en los ficheros de la TGSS no solo se recoge en el documento que se presenta a la firma del cliente. También en el Convenio de Colaboración se estipula que las asociaciones firmantes (AEB, CECA y UNACC) informarán a sus asociados – es este caso a CAIXABANK- de que la peticiones que se hagan a la TGSS deberán estar firmadas por los interesados y que la entidad financiera deberá custodiar esos documentos y tenerlos a disposición de la TGSS y de la AEPD. En resumen, a la luz de las anteriores consideraciones, ha quedado acreditado que el documento que CAIXABANK presentó a la firma del denunciante tenía por finalidad recabar su consentimiento para que la TGSS cediera, con la finalidad exclusiva de comprobar la veracidad de la información facilitada, datos personales que le conciernen. También ha quedado probado que el cliente de CAIXABANK recibió información sobre el objeto específico para el que se recababa su consentimiento –el acceso a sus datos que obran en la TGSS- y sobre la finalidad del tratamiento de sus datos así obtenidos. Igualmente, consta que el cliente y actual denunciante tuvo libertad para prestar o no su consentimiento pues la única objeción que ha hecho sobre este aspecto es “la amenaza” de bloquearle la cuenta bancaria cuando el bloqueo es una medida expresamente prevista en la Ley 10/2010 y en nada afecta a la libertar para consentir o no la cesión de sus datos. Resulta por cuanto antecede que para que CAIXABANK accediera a los datos de sus clientes que obran en la TGSS exigía su consentimiento expreso y que, en todo caso, el cliente recibía cumplida información sobre el objeto sobre el que recae el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 consentimiento y la finalidad del tratamiento, por lo que no hay indicio alguno de que la denunciada se valiera de medios fraudulentos, desleales o ilícitos para acceder a los datos de sus clientes que constan en los ficheros de la TGSS. También es digno de mención que la AEPD haya verificado que en el periodo de tiempo comprendido entre el 01/01/2014 (recordemos que CAIXABANK no suscribió el Convenio de Colaboración hasta un tiempo después, el 24/03/2014) y el 01/09/2015, la denunciada no solicitó ningún acceso a los datos del denunciante que obran en la TGSS. Así las cosas, se desprende de lo actuado que la conducta de CAIXABANK ha sido respetuosa con los artículos 11.1 y 6.1 de la LOPD sin que, por otra parte, se aprecien indicios de una presunta infracción del artículo 4.7 de la Ley Orgánica 15/1999 al que el denunciante alude, debiendo acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CAIXABANK, S.A., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.