E-04344-2016

1/7 Expediente Nº: E/04344/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO POPULAR ESPAÑOL, S.A., en virtud de la denuncia presentada por D. A.A.A.y en consideración a los siguientes HECHOS PRIMERO: Con fecha 29/06/2016 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que expone que en fecha 23/06/2016 ha recibido en su dirección electrónica –***EMAIL.1dos mensajes del BANCO POPULAR ESPAÑOL, S.A., (en lo sucesivo, BANCO POPULAR o la denunciada) enviados desde ***@bancopopular.es. El primero, al que se le otorga elevada importancia, versa sobre “B.B.B.” e incorpora un archivo adjunto de 10 MB (62 páginas según el denunciante). En el segundo, cuyo asunto es “Recuperar B.B.B.”, le comunican que el servicio de atención al cliente desea recuperar el primer mensaje. El denunciante advierte que no es cliente de BANCO POPULAR y que ambos mensajes electrónicos son improcedentes, pues a través de ellos han tratado sus datos sin consentimiento y le han revelado información de terceros, clientes de la entidad. Aporta copia de los dos email recibidos así como de la carátula y de la primera hoja de una Escritura de Préstamo con garantía hipotecaria otorgada por BANCO POPULAR a D. B.B.B. y D.ª C.C.C.. el 30/05/

1. También una hoja, desgajada de un documento, referente a una calificación registral a cuyo pie figura la fecha 06/07/2006 y que lleva impreso el sello del Registro de la Propiedad número 11 de Zaragoza. En fecha 19/08/2016, tiene entrada en el Registro de la AEPD un nuevo escrito del denunciante con el que adjunta seis folios más de la Escritura Pública a nombre de un tercero que recibió en su dirección electrónica como archivo adjunto y subraya que en los emails que recibió del BANCO POPULAR no se utilizó la copia oculta y dado que iba dirigido a siete personas se habría revelado el dato de su dirección electrónica a los siete destinatarios del email. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
2. Según se desprende del primer correo electrónico aportado por el denunciante, el 23/06/2016 a las 10:45 horas éste recibe en su dirección ***EMAIL.1 un correo electrónico con el asunto “RV: B.B.B.”. El pie de firma del correo identifica al remitente como uno de los integrantes del Servicio de atención al cliente de BANPOSA y tiene adjunto un fichero denominado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 “***FICH.1 El correo electrónico muestra a sus destinatarios sin copia oculta y está dirigido, además de al propio denunciante, a otros cinco destinatarios cuyas cuentas son de dominios de los que es responsable BANPOSA.
3. El denunciante aporta en su primer y segundo escritos 1 páginas que según manifiesta han sido obtenidas de dicho anexo. Las páginas pertenecen a una escritura de préstamo con garantía hipotecaria otorgado por BANPOSA a B.B.B. y C.C.C. firmado el 30/05/
4. Entre las páginas aportadas se encuentran parte de las condiciones financieras, un cuadro de amortizaciones y una nota de despacho de un registro de la propiedad de Zaragoza.
5. Según se desprende del segundo correo electrónico aportado por el denunciante, el 23/06/2016 a las 11:31 horas éste recibe en su dirección ***EMAIL.1 un correo electrónico con el asunto “Recuperar: B.B.B.”. Como en el caso anterior, el correo electrónico muestra a sus destinatarios sin copia oculta y está dirigido a los mismos destinatarios. El cuerpo del mensaje contiene el texto “SERVICIO DE ATENCION AL CLIENTE XXX desea recuperar el mensaje “B.B.B.” y un pie de advertencia legal.
6. Tal y como se desprende de la información obrante en el registro de nombres de dominios .es, que consta incluida en su correspondiente diligencia, el titular del dominio bancopopular.es es BANPOSA.
7. BANPOSA manifiesta en su escrito de respuesta2 no disponer de datos del denunciante y para acreditarlo aporta impresión de pantalla de una consulta en la que muestra como utilizando como criterios el nombre y los apellidos de éste, a 21/02/2017 no se localiza ninguna persona en el fichero de clientes.
8. Tal y como consta en los antecedentes, el 07/08/2014 el denunciante solicita copia del justificante de una transferencia bancaria, dirigiendo al Servicio de atención al cliente de BANPOSA un correo electrónico desde su dirección ***EMAIL.
9. A dicha solicitud se contesta desde el buzón ***@bancopopular.es el 11/08/
10. Se deniega la solicitud al no ser el denunciante titular o autorizado en la cuenta. Como acreditación de este intercambio de correos aporta BANPOSA como documentos 1 y 2 de su escrito de respuesta copia de ambos correos electrónicos.
11. Según manifiesta BANPOSA en el punto tercero de su escrito, la inclusión de su dirección de correo entre los destinatarios del primer correo electrónico se debe a un error en un proceso de revisión de condiciones del contrato del préstamo hipotecario de B.B.B..
12. El programa de correo Outlook guarda un registro de las direcciones utilizadas. Mientras un usuario teclea la dirección de un destinatario, con cada nuevo carácter tecleado el programa propone una lista de las direcciones del registro que coinciden con la parte de la dirección tecleada. Según se manifiesta en el documento 4 aportado por BANPOSA, el error se produce porque al ser la dirección de uno de los destinatarios al que se quería incluir 1 Registrados respectivamente con números de entrada 237514/2016 y 286182/2016 2 Registrado con número de entrada 06376/2017 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 en el envío similar a la del denunciante, el remitente selecciona por error la de éste último de la lista.
13. Los correos electrónicos enviados a través del servicio de correo electrónico Microsoft Exchange, pueden ser recuperados bajo ciertas circunstancias. Al detectar el error cometido, 16 minutos después del envío, se trata de recuperar el mensaje enviado y el segundo correo electrónico se remite por el servidor de correo de BANPOSA como parte del intento de recuperación.
14. De los correos electrónicos aportados por BANPOSA como documentos 3, 4 y 5 de su escrito de respuesta se desprende que: a. El denunciante pone los hechos en conocimiento de la entidad el 23/06/2016 a la vez que solicita los datos de la persona física o jurídica que hubiese facilitado a la entidad su dirección de correo electrónico. b. La entidad contesta el 24/06/2016 informándole del origen de su dirección de correo (descrito en el punto 6 de este informe), explicando las medidas adoptadas para evitar que el error se repitiese (borrar el registro de direcciones utilizadas de Outlook) y pidiéndole disculpas. c. Puesto en conocimiento de B.B.B. éste, teniendo en cuenta que los datos facilitados al denunciante constan en el Registro de la Propiedad que es de acceso público, consiente el tratamiento y cesión de sus datos en relación con la presente incidencia.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II La LOPD dedica el artículo 6 al “Consentimiento del afectado” y dispone: “
15. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
16. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 10 de la LOPD, bajo la rúbrica “Deber de secreto” establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. III En el asunto que nos ocupa está acreditado, a tenor de la documentación que obra en el expediente, que cuando acontecieron los hechos objeto de la denuncia el denunciante no era cliente de BANCO POPULAR y sus datos personales no se encontraban registrados en los “sistemas de datos” de la entidad financiera. No obstante, su dirección de correo electrónico sí figuraba entre los registros de la aplicación Outlook que utiliza el Servicio de Atención al Cliente (en adelante SAC) de BANCO POPULAR, tal y como la entidad financiera ha reconocido en su respuesta al requerimiento informativo de la Inspección En contra de lo que el denunciante sugiere en la reclamación que por estos hechos presentó en el BANCO POPULAR el 23/06/2016 su dirección electrónica no había sido facilitada a la denunciada por ningún tercero y tiene origen en un email que él mismo envió al SAC el 07/08/2014 –email en el que pedía que se le hiciera entrega de una copia de la transferencia bancaria en la que, según decía, “consta mi nombre en calidad de generador-receptor de la citada transferencia” y al que la entidad financiera respondió el 11/08/2014 denegando la solicitud pues él no figuraba ni como ordenante ni como beneficiario de la transferencia-. A la reclamación que el denunciante presentó por los hechos objeto de la presente denuncia ante el SAC de la entidad financiera el 23/06/2016 se le respondió al día siguiente. En la respuesta el BANCO POPULAR le pide disculpas por las molestias ocasionadas; le comunica que “tal y como se indica en la advertencia legal al pie de los correos que ha recibido, se trata de un error derivado de la inclusión de su dirección de correo electrónico por similitud con la del destinatario correcto”; le ruega que “proceda a eliminar la comunicación recibida por contener información confidencial” y, tras explicarle el origen del dato de su dirección electrónica le comunican que han eliminado de Outlook el registro de su dirección email para que no figure por defecto. IV En la valoración de la conducta que se somete a nuestra consideración ha de tenerse en cuenta el carácter restrictivo y nunca expansivo del Derecho Administrativo Sancionador. A ese respecto, la Audiencia Nacional, ante hechos similares a los que ahora examinamos, ha manifestado en sus SSAN de 16/03/2004, de 03/03/2004 y 02/03/2005 lo siguiente: “De mantenerse la interpretación que subyace en la resolución recurrida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 resultaría que cualquier error de anotación, por mínimo que fuese, en los movimientos de cualquier cuenta corriente constituiría una infracción grave de la Ley Orgánica 1571999, conclusión ésta que por su misma desproporción resulta inaceptable”. “…lo acontecido es resultado de un simple error cuya imputación de carga infractora de algún tipo implicaría una interpretación forzada de la legislación de protección de datos de carácter personal, teniendo en cuenta el carácter restrictivo y nunca expansivo que debe presidir toda acción administrativa sancionadora incluida claro está, le regulada en la Ley Orgánica 15/1999, de 13 de Diciembre. De mantenerse la interpretación que subyace en la resolución recurrida resultaría que cualquier equivocación en el envío de correspondencia a la dirección de una persona, aun tratándose de un domicilio que figura como tal en el fichero de clientes de cualquier empresa, o entidad, constituiría una infracción grave de la Ley de Protección de Datos, conclusión que consideramos no guarda la necesaria proporción con los hechos enjuiciados”. Sobre este particular procede añadir que cuando el ordenamiento jurídico admite varias soluciones para poner fin a la vulneración de sus disposiciones resulta más adecuado antes de iniciar actuaciones sancionadoras el agotamiento de otras fórmulas procedimentales alternativas. Tal conclusión resulta de la aplicación de los principios de intervención mínima y proporcionalidad: el primero, porque impone que el mecanismo sancionador entre en juego cuando ésta sea la única solución posible, cuando ya no exista otra actuación alternativa que sea menos restrictiva a los derechos individuales; y el de proporcionalidad porque impone que la sanción sea ponderada, razonable y adecuada a la defensa del bien jurídico que se pretende proteger. En el supuesto examinado, de la documentación aportada al expediente y de las manifestaciones de la entidad financiera denunciada se desprende que la dirección electrónica del denunciante, que no es ni ha sido cliente de BANCO POPULAR, fue facilitada por él ya que se había dirigido dos años antes al SAC de la entidad por ese medio; que el dato en cuestión no se incorporó al sistema de datos del Banco sino que permaneció guardado en la aplicación Outlook del Servicio de Atención al cliente; que BANCO POPULAR, al día siguiente de que el denunciante presentara su reclamara ante el Banco (el 23/06/2016), con gran rapidez, le respondió, le pidió disculpas y eliminó del registro de direcciones de Outlook el único dato personal del denunciante que ha sido objeto de tratamiento. Por tanto, podríamos encontrarnos ante un tratamiento poco diligente de BANCO POPULAR concretado en la confusión entre la dirección electrónica de D. B.B.B. y la del denunciante. Sin embargo, el hecho de que todo se debiera a un error; el origen del dato del email del denunciante; el hecho de que la entidad denunciada reaccionara con gran rapidez –pues detectó el error cometido en veinte minutos, y envió al denunciante un nuevo email con el fin de recuperar los documentos incorporados como archivo adjunto; que todas las personas a la que se envió el email dirigido a la dirección electrónica del denunciante fueran empleados del BANCO POPULAR –como lo evidencia el dominio al que pertenece su dirección- por lo que accedieron a la información en el marco de su actividad profesional y, finalmente, el hecho de que la entidad financiera denunciada hubiera informado al titular de los datos y cliente suyo de lo acaecido y que éste hubiera declarado en escrito firmado el 25/06/2016 –documento que BANCO POPULAR ha remitido a esta Agencia- que la información comunicada era de escasa entidad y que era posible acceder a esos mismos datos a través del Registro de la Propiedad, permite considerar que, en cierto modo, se excluye la culpabilidad de la actuación de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 denunciada. En el presente caso, los hechos acaecidos implicarían un resultado no perseguido y, por tanto, la comisión de un error. Hemos de tener en cuenta que como pone de manifiesto la Audiencia Nacional, y en la medida en que no consta la falta de cuidado en sus funciones en la actuación generalizada de la empresa denunciada y no se ha producido un resultado especialmente lesivo, sería contrario a la naturaleza del Derecho Administrativo sancionador, sujeto a los principios de intervención mínima y proporcionalidad, imponer una sanción respecto de la conducta analizada, que puede resumirse en un mero error no merecedor de actuación sancionadora. En este mismo sentido, la Sentencia de la Audiencia Nacional de 14/12/2006, recurso nº 1363/2005, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre , que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida en el sentido de que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho". Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a BANCO POPULAR ESPAÑOL, S.A. y D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es