E-03986-2016

1/6 Expediente Nº: E/03986/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAIXABANK, S.A., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 17/06/2016 tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que CAIXABANK, S.A., ( en lo sucesivo, CAIXABANK o la denunciada) ha tratado sus datos personales sin su consentimiento. La conducta de la entidad denunciada en la que se materializa la presunta infracción de la normativa de protección de datos consistió en domiciliar el pago de las cuotas a la Seguridad Social de la denunciante como trabajadora autónoma en una cuenta de la que ella fue titular en CAIXABANK -cuenta que había cancelado varios meses antes- y en modificar los datos de domiciliación bancaria para el pago de las cuotas que la denunciante había dado de alta a principios de diciembre de 2015, sustituyendo éstos -una cuenta de la denunciante en la entidad financiera ING- por los de la cuenta cancelada, todo ello sin su consentimiento y con la consecuencia de que, al no poderse abonar las cuotas por no tener cuenta abierta en CAIXABANK ni por tanto fondos, la Seguridad Social le ha cobrado un recargo. Aporta copia de un Oficio de la Dirección Provincial de Pontevedra de la Tesorería General de la Seguridad Social (en adelante, TGSS) de fecha 01/04/2016 con el Informe emitido en respuesta a un escrito de la denunciante de fecha 31/03/2016. La TGSS hace constar en el informe que, realizadas las comprobaciones pertinentes, ha constatado que la denunciante solicitó el 04/12/2015, a través de internet, el alta en la domiciliación del pago de cuotas a la S.S. en la entidad financiera 1465 (ING), en la cuenta finalizada en los dígitos XX.2. Que días más tarde, el 15/12/2015, CAIXABANK, solicitó el alta de domiciliación de pagos en una cuenta corriente finalizada en los dígitos XX.1. El Informe indica que esta petición se anuló y provocó la baja de la domiciliación en la entidad financiera 1465 que en su día había solicitado la Sra. A.A.A.. Añade que un mes más tarde, el 15/01/2016, CAIXABANK solicitó a la TGSS el “cambio de entidad financiera” quedando aplicado tal cambio en esa fecha, de modo que la cuenta corriente de CAIXABANK quedó activada con efectos febrero de 2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Señala que en fecha 31/01/2016 se desactiva la domiciliación de pagos en la cuenta bancaria de CAIXABANK como consecuencia de que la denunciante pidió la baja en el sistema especial de trabajadores autónomos a través de “RED” el 02/02/2016, de modo que desde febrero de 2016 ya no se emiten “boletines”. La denunciante aporta impresiones de pantalla en las que se recoge información relativa a su situación en el Régimen especial de Trabajadores Autónomos con indicación de la fecha de efecto, la cuenta de domiciliación, el tipo de movimiento, la procedencia del movimiento, la situación y la fecha de solicitud. De la citada documentación resulta:

1. a)Que entre enero de 2015 y noviembre de 2015 la cuenta de domiciliación de pagos a la SS vinculada a la afectada era una finalizada en los dígitos XX.1 abierta en CAIXABANK. Durante todos estos meses constan “movimientos sin determinar” procedentes de E.F. (entidad financiera) y la situación “Rechazado”.
2. b)Que con fecha 04/12/2015 consta como movimiento un “Alta” en la cuenta de ING finalizada en los dígitos XX.2.
3. c)Que en fecha 15/12/2015 se refleja un movimiento de “Alta” por la entidad financiera CAIXABANK en situación de “Anulado”.
4. d)Que con fecha 15/01/2016 existe un movimiento de “variación” de la entidad CAIXABANK que resulta aplicado
5. e)Que el 31/01/2016, con fecha de efecto 02/02/2016, consta un movimiento de tipo “Baja” siendo la procedencia “Afiliación” que resulta aplicado
6. f)Que el 16/02/2016, con fecha de efecto 02/02/2016, consta un movimiento de baja asociado a la cuenta de CAIXABANK finalizada en los dígitos XX.1, siendo la procedencia “Baja impago”.
7. g)Que en fecha 15/03/2016 y con efectos abril de 2016 consta un movimiento de alta vinculado a la cuenta de domiciliación abierta en ING finalizada en dígitos XX.2 procedente de “internet” que resulta aplicado.
8. h)Que en fecha 30/04/2016 con fecha de efecto mayo de 2016 consta un movimiento de baja procedente de afiliación que también resulta aplicado. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el informe de Inspección que se transcribe: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 20 de diciembre de 2016, CAIXABANK S.A. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Aportan copia impresa de los datos que constan en sus ficheros relativos a la denunciante como titular de varios servicios, todos ellos se encuentran cancelados, la última fecha de baja es de 28 de julio de 2015. 2. Aportan copia del correo electrónico recibido de la denunciante con fecha 8 de octubre de 2014, en el que solicita el cambio de domiciliación de la cuota de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 autónomos. La citada domiciliación se realizó según acreditan con la pantalla en la que se comunica el “Alta de la domiciliación” a la TGSS. 3. Según manifiestan, tal y como está establecido el sistema de altas con la Seguridad Social, la entidad bancaria emite cada mes la solicitud de alta, por lo que en el caso de la denunciante, el sistema siguió enviando peticiones de alta mensuales hasta que en 25 de enero de 2016, aunque la TGSS, acepto el alta, no se pagó la cuota y se cursó la baja de domiciliación por parte de la entidad bancaria en febrero de 2016. 4. Aportan copia de la información que consta en sus ficheros sobre los datos comunicados a la TGSS relativos a la denunciante. En dicha información figura la primera petición de alta 8 de octubre de 2014 y figuran las comunicaciones de alta mensuales desde esa fecha hasta 25 de enero de 2016. La fecha que consta como comunicación de Baja es 22 de febrero de 2016.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) establece: "Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso." II El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos”. De acuerdo con el precepto citado el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la LOPD- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Añadir en relación al “consentimiento inequívoco” al que alude el artículo 6 de la LOPD, que constituye doctrina reiterada y consolidada de la Sala de lo Contencioso Administrativo de la Audiencia Nacional que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito -SSAN de 1-2-2006 (Rec.250/2004) y de 20-9-2006 (Rec. 626/2004-, e igualmente que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos, es decir, por actos presuntos, o por el silencio del afectado, consentimiento tácito (o impropiamente llamado silencio positivo), como se dice en la SAN de 14-4-2000 Rec. 103/1999). La vulneración del principio del consentimiento se tipifica por la LOPD como infracción grave en su artículo 44.3.b): “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a los dispuesto en esta Ley y sus disposiciones de desarrollo”. III A tenor de la documentación que obra en el expediente ha quedado acreditado que la denunciante fue cliente de CAIXABANK, siendo titular de una cuenta cuyo código de identificación finalizaba en los dígitos XX.1 y que esa cuenta fue cancelada en fecha 28/07/2015. Asimismo, resulta probado que la denunciante había comunicado en 2014 ( el 08/10/2014) a su oficina de CAIXABANK, a través de email, su número de la S.S. y en el “asunto” del correo electrónico enviado figuraba “número cuenta seguridad social_cambio cuenta autonómos” Que con posterioridad a la fecha en la que la denunciante canceló la cuenta en CAIXABANK –el 28/07/2015-, según consta en las impresiones de pantalla procedentes de la Seguridad Social que la denunciante ha facilitado a la AEPD, la entidad financiera continuó haciendo, asociados al número de seguridad social de la denunciante, “movimientos” “sin determinar” cuya situación consta como “rechazado”. A tenor de los documentos remitidos a la AEPD por la entidad financiera esos “movimientos” consistieron, desde agosto de 2015 y hasta el 01/01/2016, en una “petición de alta” y una “comunicación de alta”. Esa documentación refleja también dos movimientos procedentes de la Seguridad Social realizados en fechas 25/01/2016 – consistente en un “Alta”- y el 22/02/2016, consistente en una “Baja”. Comparando esta última información con la que ofrecen las impresiones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 pantallas remitidas por la T.G.S.S., se observa que no son totalmente coincidentes. La explicación ofrecida por CAIXABANK es que según el sistema establecido por la Seguridad Social para este tipo de operaciones cada mes se debe solicitar el alta de la domiciliación y que la domiciliación de la cuota no se produce hasta que la Seguridad Social comunica a la entidad financiera que acepta el alta o bien cuando el cliente “solicite la baja expresamente”, “con el fin de no causar en ningún momento perjuicio a la persona solicitante” Añade que, toda vez que la denunciante solicitó el alta de la domiciliación el 08/10/2014, el sistema de CAIXABANK siguió enviando peticiones de alta mensuales hasta que en fecha 25 de enero de 2016 la Seguridad Social aceptó la petición de alta y al no haber en ese momento ningún producto contratado por la denunciante, no se pudo pagar la cuota de la Seguridad Social. Resulta por ello que, si bien la denunciante canceló el 28/07/2015 su cuenta bancaria en CAIXABANK, no comunicó a esa entidad financiera que deseaba dar de baja la domiciliación del pago de sus cuotas a la Seguridad Social, por lo que la entidad denunciada continuó tratando sus datos con dicha finalidad amparada en el consentimiento otorgado en octubre de 2014, por lo que el tratamiento efectuado era legítimo y estaba amparado en el consentimiento inicialmente otorgado. Así las cosas, en el presente caso, no se aprecian indicios de infracción de la normativa de protección de datos por lo que procede acordar el archivo de las actuaciones de investigación seguidas frente a CAIXABANK. . Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a CAIXABANK, S.A. y a D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es