E-04030-2014

1/8 Expediente Nº: E/04030/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO POPULAR ESPAÑOL, S.A., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 20/06/2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que exponía que el BANCO POPULAR ESPAÑOL, S.A., (en lo sucesivo, el Banco Popular o la denunciada) había remitido durante un largo periodo de tiempo información de carácter financiero concerniente a su persona a un domicilio que no era el suyo, a un tercero con su mismo nombre y apellidos. El Director de la AEPD, en resolución de 30/04/2014, en el marco del expediente E/005033/2013, acordó archivar la denuncia y no incoar actuaciones inspectoras toda vez que no había quedado acreditada la concurrencia de los elementos que integran el tipo sancionador del artículo 44.3.

1. d)de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), en relación con la obligación impuesta por el artículo 10 de la citada Ley. La resolución de archivo fue recurrida en reposición (RR/00417/2014). El Director de la AEPD dictó resolución el 14/07/2014 estimando el recurso de reposición y acordando abrir actuaciones de investigación en el marco del E/04030/2014, a fin de determinar si los hechos denunciados vulneraban la normativa de protección de datos. SEGUNDO: En cumplimiento de lo ordenado por el Director de la AEPD en la resolución que estimó el RR/00417/2014, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS Con fecha 10/12/2014 se solicita información al Banco Popular y de la respuesta facilitada se desprende lo siguiente: 1. Aportan impresión de pantalla donde se puede comprobar que el denunciante tiene varios productos contratados con la entidad y en el apartado correspondiente a los datos personales se comprueba que la dirección que consta es (C/...........1) Madrid. 2. Aportan copia de varios contratos asociados a los productos contratados donde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 también consta la citada dirección. 3. Respecto de la solicitud de remisión de documentación que permita acreditar que el Sr. A.A.A. ha cambiado la dirección de envío de su correspondencia a la calle (C/...........2), el banco manifiesta que aunque actualmente consta la dirección en (C/...........1) dicha dirección fue modificada por el Sr. A.A.A. el día 20/11/2012 por la dirección (C/...........2). Esta modificación manifiestan que fue realizada de forma presencial en la oficina urbana **, de Banco Popular Español, sita en (C/...........3) de Madrid, de la que es cliente habitual y en su caso, previa identificación del mismo a través de la expedición del original del Documento Nacional de Identidad, motivo por el cual no disponen de petición escrita del cliente. 4. Manifiestan que no consta ninguna reclamación del Sr. A.A.A. hasta seis meses después de haberse producido la modificación del domicilio y presuntamente tras seis meses sin recibir información sobre sus contratos, que es cuando se pone en contacto con la entidad a través de la página web del banco donde manifiesta la presunta existencia de un error en el domicilio de correspondencia. La fecha de la reclamación es el 7/5/2013, fecha en la que el banco procede a modificar nuevamente la dirección a la C/ (C/...........1). 5. Finalmente, el banco manifiesta que no consta otro cliente en la entidad con el mismo nombre y apellidos que el denunciante. 6. No aportan documentación que permita acreditar los cambios que se han producido en sus sistemas asociados a los cambios de domicilio de tal forma que pueda comprobarse que el 20/11/2012 hubo un cambio de domicilio, que se realizó de forma presencial y que posteriormente el 7/5/2013 se volvió a cambiar.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). II El artículo 10 de la LOPD bajo la rúbrica “Deber de secreto” dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El artículo 4 de la LOPD, relativo a la “Calidad de los datos” establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. III El denunciante relató en su escrito que, desde aproximadamente el mes de junio de 2012 y hasta mayo de 2013, “todos los recibos que tengo domiciliados en el Banco han sido remitidos a D. A.A.A. (que coincide con mi nombre) pero a una dirección que no es, ni nunca ha sido, mi dirección.” Explicó que la dirección a la que se habían dirigido las comunicaciones postales era la calle (C/...........2), 17, mientras que su dirección, según dice la única que ha tenido, es calle (C/...........1) número 5,. Añadió, en relación con los hechos denunciados, que el 07/05/2013 hizo una reclamación a la entidad a través de la página web; que posteriormente hizo varias llamadas telefónicas; y que el 21/05/2013 recibió en su casa –en su domicilio de la calle (C/...........1)- el justificante de un pago a MAPFRE que evidenciaba que el problema se había resuelto. Con la denuncia ha aportado, entre otros, los siguientes documentos: La copia de diversos recibos de adeudos en la cuenta del Banco Popular de la que es titular finalizada en los dígitos ****1- que acreditan pagos a Vodafone España, S.A., de fecha 26/06/2012, a una comunidad de usuarios de aparcamiento, de 02/07/2012, y a Iberdrola, de 17/07/2012. La dirección de envío que aparece en ellos es la de la calle (C/...........2). Estos documentos, los obtuvo el denunciante de la página web https://.....bancopopular... , desde el apartado “domiciliación de recibos”, el 06/05/2013. Remitió también a la AEPD la copia de una “comunicación cliente sucursal” que hizo a la denunciada el 07/05/2013 informándole de que el día anterior había descubierto que desde hacía un año la entidad estaba enviando a otra persona “los recibos que pago, los extractos bancarios y cualquier otra información que generan” en relación con la cuenta cuyos últimos dígitos son ****1. Respecto a segunda de las cuentas corrientes de las que también es titular -cuyo número de identificación finaliza en los dígitos ****2- el denunciante aportó a este organismo copia de varios documentos con los movimientos de noviembre y diciembre de 2012 y enero, marzo, abril y mayo de 2013. En todos ellos aparece la dirección de la calle (C/...........2). Referente también a esta misma cuenta remitió la copia de un recibo de movimientos de octubre de 2012 en el que aún figuraba su dirección, sita en la calle (C/...........1). El BANCO POPULAR, en respuesta al requerimiento informativo que le hizo la Inspección de Datos, facilitó a la AEPD la copia de un contrato de cuenta corriente – cuyo número de identificación termina en los dígitos ****2- del que el denunciante es cotitular y en el que figura como dirección de envío de la correspondencia la calle (C/...........1). También los documentos que acreditan que es titular de una cuenta finalizada en los dígitos ****1. El BANCO POPULAR explicó a la AEPD que “aunque la dirección que actualmente figura en nuestros ficheros asociado al titular de referencia es C/ (C/...........1) nº 5, Madrid, coincidente con la pactada en los contratos, según se acredita en la impresión de pantalla que se acompaña al presente escrito como documento nº 3, dicha dirección fue modificada en nuestros sistemas por el Sr. A.A.A. en noviembre de 2012, en concreto el día 20, por la dirección (..) C/ (C/...........2) nº C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 71….” (El subrayado es de la AEPD) A propósito del motivo por el cual se cambiaron los datos de envío de la correspondencia explicó: “Por lo que respecta a la modificación del dato del domicilio en los contratos en los que aquel interviene como titular, indicar que la misma fue realizada de forma presencial en la oficina urbana **, de Banco Popular Español, sita en el (C/...........3), de Madrid, de la que el Sr. A.A.A. es cliente habitual, y en cualquier caso, previa identificación del mismo a través de la expedición del original del Documento Nacional de Identidad, motivo por el cual no disponemos de petición escrita del cliente”. Y añadió: “No es sino hasta el 7 de mayo de 2013, seis meses después de haberse producido la modificación del domicilio a petición del Sr. A.A.A., y presuntamente, tras seis meses sin recibir información sobre sus contratos, cuando aquel se pone en contacto con esta entidad a través de la página web del Banco, para manifestar la presunta existencia de un error en el domicilio de correspondencia, momento en el cual -en concreto el 7 de mayo de 2013- esta entidad procede a la modificación del domicilio nuevamente siguiendo las instrucciones del Sr. A.A.A.”. EL BANCO POPULAR ha informado a la AEPD que en sus ficheros no figura censado ningún otro titular con el mismo nombre y apellidos que el denunciante en la dirección de la calle (C/...........2). IV El artículo 10 de la LOPD se ocupa del deber de secreto y tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. Como ha declarado el Tribunal Constitucional este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Derecho fundamental a la protección de los datos que “persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino”, (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. La Audiencia Nacional, de manera reiterada, ha considerado que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (SAN de 11/06/2009). Pueden citarse a título de ejemplo las SAN de 12/06/2013, Rec. 403/2011, y 29/05/2013, Rec. 356/2012, que confirman las sanciones impuestas por la AEPD por vulneración del artículo 10 de la LOPD y que ponen el acento en que existió una efectiva revelación de datos a un tercero no legitimado para acceder a tales datos Partiendo de tal premisa hay que concluir que por lo que atañe a los hechos denunciados no se ha llegado a acreditar que los datos personales del denunciante relativos a sus dos cuentas bancarias hayan sido conocidos por alguna persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 distinta del propio denunciante. Lo único que ha quedado probado es que la entidad financiera denunciada envió documentación de las cuentas del denunciante a la dirección de la calle (C/...........2) figurando siempre como destinatario de la comunicación el nombre y dos apellidos del denunciante. Sobre este particular hay que añadir que no se tiene noticia de que alguien con esos datos personales esté domiciliado en la dirección a la que se envió el correo postal. Es más, a requerimiento de la Inspección el BANCO POPULAR ha informado de que en sus sistemas no consta ninguna persona con idéntico nombre y apellidos a los del denunciante y con domicilio en la calle (C/...........2). Se concluye, por tanto, que como se dijo en la resolución recaída en el E/05053/2013, no están presentes en los hechos sobre los que versa la presente denuncia los elementos que integran la conducta típica descrita en el artículo 44.3.
3. d)de la LOPD en relación con el artículo 10 al no quedar acreditado el suministro de datos a tercero alguno. V El denunciante invocó en el escrito de interposición del recurso de reposición (RR/00417/2014) -en cuya resolución se acordó la práctica de actuaciones de investigación en el expediente E/0430/2014 que nos ocupa- la Sentencia del Tribunal Supremo, Sala de lo Contencioso Administrativo, de 29/03/2011 (Rec 4153/2008) por considerar que el pronunciamiento que en ella se hace era extrapolable a los hechos que denuncia. La citada STS resolvió el recurso de casación interpuesto contra la Sentencia de la Audiencia Nacional que estimó parcialmente el recurso contencioso administrativo formulado contra la resolución de la AEPD que había sancionado al RACE de Cataluña por la comisión de dos infracciones de la LOPD, artículos 4.3 y 11, tipificadas en los artículos 44.3.
4. d)y 44.4.b), respectivamente, de la citada norma. En su Sentencia, el Tribunal Supremo confirmó la dictada por la Audiencia Nacional, que había dejado sin efecto la sanción impuesta por la AEPD por una presunta infracción del artículo 11 de la LOPD y ratificado la sanción impuesta por la infracción del artículo 4.3 de la LOPD. Este último precepto consagra el principio de exactitud y veracidad de los datos, manifestación del principio de calidad de los datos. Los hechos en los que se materializó la vulneración del principio de exactitud o veracidad, cuya infracción fue sancionada por la AEPD y confirmada en vía contenciosa tanto por la Audiencia Nacional como por el Tribunal Supremo, consistieron en que, pese a que la persona afectada se había dado de baja del RACE de Cataluña como “beneficiaria” de su ex marido y de alta como socia, cuando su ex marido cambió de domicilio el RACE modificó también el domicilio de la afectada asignándole a ella el domicilio de aquel, de quien no era beneficiara y con quien no tenía ninguna relación, con la consecuencia de que, puesto que la afectada había contratado con LA CAIXA la tarjeta “RACC MASTER”, el RACE comunicó a la entidad financiera un domicilio que no era correcto, no era el de la afectada sino el de su ex cónyuge, y LA CAIXA envío al domicilio del ex cónyuge sus movimientos bancarios asociados a la tarjeta contratada. A la vista de la resolución que se invoca procede examinar si los hechos sobre los que versa la denuncia pudieran ser constitutivos de una infracción del principio de calidad de los datos previsto en el artículo 4.3 de la LOPD y si, en tal caso, debe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 acordarse la apertura de un expediente sancionador. La respuesta a esta cuestión exige subrayar algunas circunstancias relevantes que están presentes en los hechos denunciados. En primer término, la documentación que obra en el expediente acredita que el BANCO POPULAR, inicialmente, incorporó de manera correcta a sus sistemas informáticos los datos personales del denunciante vinculados a las dos cuentas corrientes contratadas por él y cuyos últimos dígitos son ****3 y ****2. Esto es, incorporó como dirección de envío de la correspondencia la de la calle (C/...........1). Domicilio que consta en el contrato relativo a la segunda de las cuentas corrientes citadas cuya copia obra en el expediente. Es más, el denunciante ha aportado documentación que demuestra que en octubre de 2012 la entidad financiera le enviaba los justificantes bancarios a la dirección de la calle (C/...........1). En segundo término, el denunciante reconoce que el BANCO POPULAR rectificó el dato -presuntamente inexacto- del domicilio de envío de correspondencia volviendo así a recibir la documentación en la calle (C/...........1). Afirma que el 21/05/2013 llegó a su domicilio el documento de adeudo por domiciliación de una póliza de seguro, cuya copia aporta, en el que consta impresa la dirección de la calle (C/...........1) y la fecha de emisión “08/05/2013”. Además el denunciante ha aportado una impresión de pantalla procedente de la página web http://.....bancopopular..., con la rúbrica “Justificante de operación” y la indicación “Comunicación cliente sucursal”, que está fechada el 07/05/2013. Se trata del mensaje que envió a la denunciada explicando que el día anterior había descubierto que desde hacía casi un año le estaban enviando a “otra persona” los documentos, extractos y demás documentación que la entidad genera y que los envíos se hacen a A.A.A. a la calle (C/...........2) nº 71, que su dirección, que nunca ha cambiado, es calle (C/...........1). Finaliza advirtiendo: “Les exijo que de forma inmediata, corrijan esa deficiencia y me informen por escrito y de forma detalla sobre las circunstancias de estos hechos”. El BANCO POPULAR, por su parte, ha reconocido que existió un cambio en la dirección de envío de correspondencia del denunciante. Sin acreditar la versión de los hechos que ofrece argumenta que, según sus registros informáticos, fue el mismo denunciante quien en fecha 20 de noviembre de 2012 modificó la dirección de envío. Añade que tal modificación se hizo personalmente por él en la oficina urbana número 39, del (C/...........3), y previa exhibición de su DNI En resumen, el BANCO POPULAR incluyó en sus registros informáticos, asociado al denunciante, un dato que pudiera ser inexacto –el de la dirección de la calle (C/...........2), a la que ha estado enviado durante meses las comunicaciones generadas por la relación contractual que les vincula-. No obstante, a diferencia de lo descrito en la STS de 29/03/2011 que invoca, no se produce la implicación ni el envío a ningún tercero como sucede en el caso referido (al domicilio del ex cónyuge). Tampoco puede obviarse, por otra parte, que el dato presuntamente inexacto fue corregido de inmediato por la entidad denunciada. Como se ha indicado, el día 07/05/2013 el denunciante comunicó al Banco Popular, a través de su página web, que la noche anterior había conocido que los documentos se enviaban a una dirección que no era la suya y que el día 21/05/2013 recibió en su domicilio –calle (C/...........1)- un documento bancario que lleva impreso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 como fecha de emisión el 08/05/2013. Todo lo cual confirma que el BANCO POPULAR obró con gran diligencia para rectificar el dato supuestamente inexacto, pues en un periodo de veinticuatro horas hizo las correcciones oportunas. Llegados a este punto debemos indicar que cuando el ordenamiento jurídico admite varias soluciones alternativas como reacción ante una conducta resulta más adecuado acudir, en primer término, a las fórmulas procedimentales menos restrictivas de los derecho individuales, en definitiva menos gravosas, al amparo del principio de intervención mínima conforme al cual el mecanismo sancionador es la última ratio; de manera que el procedimiento sancionador entra en juego sólo cuando sea la única solución posible, por no existir otras fórmulas alternativas o porque el responsable de la conducta no ha acudido a estas vías alternativas. En esa línea la LOPD dispone en el artículo 4.4 que “ Si los datos de carácter personal registrados resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. A su vez, el Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD), en su artículo 8.5 establece: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. (…) Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello. (…) Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Trasladando las reflexiones precedentes a los hechos sobre los que versa la denuncia -y al haber quedado acreditado que el BANCO POPULAR obró con diligencia y rectificó el dato presuntamente inexacto del domicilio de correspondencia que constaba en sus ficheros asociado al denunciante nada más tener noticia, a través del correo interno de la entidad, de cuál era la voluntad de su cliente- a la luz del principio de intervención mínima, cabe concluir que no se dan en los hechos examinados las razones que justifiquen la incoación de un expediente sancionador. En consecuencia, procede acordar el archivo de las presentes actuaciones de investigación previa. Por último – pese a que no se da validez a la versión que la denunciada ha ofrecido sobre el origen del cambio del domicilio de envío de la correspondencia- es obligado destacar la inactividad y falta de diligencia demostrada por el denunciante en relación a estos hechos. El denunciante permaneció durante un año, según sus explicaciones, y durante más de seis meses, según la versión del BANCO POPULAR, sin recibir correspondencia de dos cuentas bancarias de las que es titular y no acudió a la sucursal bancaria (que según explicó está junto a su domicilio) para interesarse por un asunto que le concierne directamente. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al BANCO POPULAR ESPAÑOL, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es