E-04552-2014

1/5 Expediente Nº: E/04552/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO SANTANDER, S.A. en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fechas 22 de abril y 9 de junio de 2009 tuvieron entrada en esta Agencia dos escritos remitidos por Doña A.A.A. y su representante legal Don B.B.B., en los que formula denuncia contra el BANCO SANTANDER, por comunicación indebida a terceros de sus datos de carácter personal. En fecha 24 de julio de 2009 se dictó, por el Director de la Agencia Española de Protección de Datos, resolución del expediente E/01695/2009 que acordaba no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, basándose en lo siguiente: “En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación.” Con fecha 16 de septiembre de 2009, el representante legal de la denunciante presenta Recurso de Reposición contra dicha resolución, fundamentándolo, básicamente, en las mismas alegaciones que ya resultaron analizadas en la resolución recurrida. Con fecha 17 de noviembre de 2009, la Agencia desestimó el recurso de reposición RR/00611/2009 frente a la anterior resolución de 24 de julio de 2009 que acordaba el archivo de actuaciones, resolución que se confirma. Con fecha de 22 de febrero de 2010, se recibió en esta Agencia un oficio de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, comunicando la interposición de recurso contencioso-administrativo nº ****/2009 por la denunciante contra la resolución de esta Agencia de fecha 27 de Noviembre de 2009, dictada en el expediente E/01695/

1. Con fecha 26 de septiembre de 2011 tuvo entrada en esta Agencia un oficio de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, acompañando la sentencia recaída el 13 de abril de 2011, con significación de que no era firme al haber preparado recurso de casación, en la que se inadmitía el recurso lo contenciosoadministrativo nº ****/
2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Con fecha de 21 de julio de 2014, se recibió en esta Agencia un oficio de la Audiencia Nacional de devolución del expediente administrativo respecto del recurso contencioso-administrativo seguido a instancia de Doña A.A.A. contra resolución de esta Agencia de fecha 27 de Noviembre de 2009, que remite también copia de la resolución que, con fecha 9 de junio de 2014 dictó la Sala Tercera del Tribunal Supremo contra la dictada por esta Sala de lo Contencioso-Administrativo. En su punto QUINTO recoge, entre otros argumentos, lo siguiente: “En la resolución de la AEPD, que resolvió el recurso de reposición de la denunciante contra la decisión de no incoar actuaciones inspectoras ni iniciar procedimiento sancionador, se efectúa la indicación de que el archivo se refiere a la denuncia de la comunicación a terceros de los movimientos de la cuenta bancaria, y que en relación con el ejercicio del derecho de acceso, podía la denunciante solicitar la tutela de tal derecho ante la propia AEPD, lo que verificó la denunciante en escrito de 23 de diciembre de 2009, de solicitud de tutela de la AEPD al amparo del artículo 18 LOPD, incoándose el expediente TD/00161/2010, en el que recayó resolución del Director de la AEPD de estimación de la reclamación, instando al Banco de Santander para que remitiera a la reclamante certificación en la que se facilite el acceso completo a sus datos, procediendo el Banco de Santander, conforme con lo requerido por la AEPD, a comunicar a la recurrente los datos de carácter personal existentes en sus ficheros, como resulta de la documentación aportada por el Banco codemandado en la pieza de prueba del recurso contencioso-administrativo. … Por tanto, en lo que interesas al presente recurso, los hechos objeto de denuncia que hemos de tomar como referencia en nuestra indagación sobre la respuesta de la AEPD, son los relativos a la comunicación por el Banco denunciado a un tercero, sin autorización de la denunciante, de determinados movimientos de su cuenta corriente.” El fallo recoge que HA LUGAR el recurso de casación nº ****/2011, interpuesto por la representación procesal de Dª A.A.A., contra la sentencia de 1 de abril de 2011, dictada por la Sección primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, en el recurso nº ****/2009, que anulamos. “ESTIMAMOS el recurso contencioso-administrativo interpuesto por la representación procesal de Dª A.A.A., frente a las resoluciones de la Agencia Española de Protección de Datos, de 24 de julio de 2009, y de 27 de septiembre de 2009 que desestimó el recurso de reposición contra la anterior, que anulamos, para que la Agencia Española de Protección, en relación con la denuncia formulada por la recurrente, lleve a cabo la actividad procedente para llegar a la resolución que corresponda. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 1 de agosto de 2014 se comunicó a la denunciante el inicio del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 presente expediente de actuaciones previas de inspección, comunicación que fue devuelta por el servicio de correos con la indicación “AUSENTE”. Con fecha 4 de agosto de 2014 se solicitó información al denunciado con referencia a la fecha de 1 de diciembre de
3. Con fecha 14 de agosto de 2014 se recibió en esta Agencia escrito de la denunciante comunicando los datos de su nuevo representante legal. Con fecha 20 de agosto de 2014 tiene entrada en esta Agencia escrito del Banco Santander en el que manifiesta que: “Tras consultar con los empleados de la oficina, de la cual es clienta D A.A.A., nos comunican que en ningún momento se le entregó documentación bancaria a D. C.C.C. en el período comprendido entre diciembre de 2008 y la fecha del presente requerimiento, debido a que no consta como titular, cotitular o persona autorizada de las cuentas bancarias de dicha dienta, por lo que no procede dicha comunicación. Las medidas de seguridad implantadas en relación con los ficheros con datos de carácter personal, son las utilizadas en los ficheros de grado medio según la normativa vigente. Con fecha 15 de septiembre de 2014, se remite al nuevo representante legal de la denunciante la comunicación del inicio del presente expediente de actuaciones previas de inspección. Con fecha 17 de septiembre de 2014 se solicitó más información al Banco Santander con referencia a la fecha de 1 de julio de
4. Con fecha 19 de septiembre de 2014 tiene entrada en esta Agencia escrito del Banco Santander en el que manifiesta que: Al igual que la contestación que remitimos a esta Agencia el 19/08/2014 sobre este mismo expediente, indicar que en la consulta hecha a los empleados de la oficina de la clienta, éstos nos confirman que en ningún momento se le hizo entrega de documentación alguna a D. C.C.C. en la fecha indicada. No disponemos de registro en nuestros sistemas, dado que se trata de ficheros con nivel de seguridad medio. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso denunciado, durante las actuaciones previas de investigación efectuadas no se ha podido acreditar que el Banco Santander facilitara información de Doña A.A.A. a su padre. Dado el tiempo transcurrido al que se refiere la denuncia, siete años, no disponen en los ficheros de la entidad bancaria de los accesos realizados en aquel momento. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que “Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este sentido y para este caso, se ha de señalar que no se han obtenido, tras las actuaciones previas de investigación realizadas, indicios razonables que permitan establecer que se han producido los hechos denunciados. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
5. PROCEDER AL ARCHIVO de las presentes actuaciones.
6. NOTIFICAR la presente Resolución al BANCO SANTANDER, S.A., y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es