E-04345-2017

1/4 Expediente Nº: E/04345/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA Y SORIA S.A (en adelante Banco EspañaDuero) y FUNDACIÓN ESPAÑA-DUERO (en adelante, la Fundación) en virtud de denuncia presentada por B.B.B.. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de mayo de 2017, tuvo entrada en esta Agencia escrito de B.B.B.. (en lo sucesivo el denunciante) en el que denuncia que el Banco y la Fundación son dos entidades jurídicas diferentes, con clientes distintos, pero se da la circunstancia que comparten el programa informático de gestión de los datos de sus usuarios, y obviamente permite tanto al Banco como a la Fundación acceder al historial de las operaciones que realicen en una o en otra sociedad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 16 y 19 de octubre de 2017, respectivamente, la Fundación y Banco EspañaDuero, han remitido la siguiente información en relación con los hechos acontecidos: 1.- La Fundación, señala en su escrito, que no dispone, ni tiene ningún acceso a la información relativa a ningún producto del Banco (ni del citado cliente, ni de ningún otro). En lo que respecta a los productos de la Fundación relativos a Dña. A.A.A.A: La Fundación no dispone, ni tiene acceso a la información requerida, puesto que el BANCO actúa como encargado del tratamiento de los datos, proporcionando a la Fundación su plataforma informática y encargándose de la gestión informática de los servicios prestados por parte del Monte Piedad a sus clientes. 2.- Banco EspañaDuero, dice en su escrito que la información fue facilitada a la usuaria tras ejercitar ésta su derecho de acceso con relación a los productos que tiene contratados con la Fundación y con el Banco, y tras identificarse adecuadamente. Banco EspañaDuero ha venido prestando servicios a la Fundación desde el 11 de enero de 2013. Así, a fecha 28 de marzo de 2017, Banco EspañaDuero tenía encomendada, entre otras funciones la de atender a los derechos ARCO de los clientes de la Fundación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III En la información aportada por la Fundación, se pone de manifiesto que la misma no dispone, ni tiene ningún acceso a la información relativa a ningún producto de Banco EspañaDuero. Ahora bien, Banco EspañaDuero ha venido prestando servicios a la Fundación desde el 11 de enero de 2013 de atención de derechos ARCO de los clientes de la Fundación. Precisamente, Banco EspañaDuero facilitó el 28 de marzo de 2017 la información a Dña. A.A.A. tras ejercitar ésta su derecho de acceso en relación a los productos que tenía contratados tanto con la Fundación como con el Banco EspañaDuero. Sobre este particular, debemos señalar que se accedió y atendió el acceso por el encargado del tratamiento, en calidad de encargado de atender derechos ARCO. IV El artículo 11 de la LOPD establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
2. i)de la citada norma define la “cesión o comunicación de datos” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante lo anterior, la propia LOPD habilita, en su artículo 12, el acceso de terceros a los datos personales cuando el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, al señalar en su apartado 1: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite, por tanto, el acceso a datos de carácter personal a la persona o entidad que presta un servicio al responsable del fichero, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión o comunicación de datos. En el presente caso, de la documentación aportada se desprende que la entidad Banco EspañaDuero, tenía encomendada atender los derechos ARCO de los clientes de la Fundación. En consecuencia, Banco EspañaDuero está habilitado para acceder, en la condición de encargado del tratamiento, a los datos personales de clientes de la Fundación, por lo que de estos hechos no se infiere la existencia de infracción de la LOPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA y SORIA S.A (EspañaDuero) a FUNDACIÓN ESPAÑA-DUERO y a B.B.B... De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es