E-04710-2014

1/6 Expediente Nº: E/04710/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAJASUR BANCO, S.A.U., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 20/01/2014 tuvo entrada en la Agencia Española de Protección de Datos (AEPD), remitida por el Ayuntamiento de Córdoba, la denuncia presentada el 19/12/2013 por A.A.A. (en lo sucesivo la denunciante) contra CAJASUR BANCO, S.A.U., ( en lo sucesivo CAJASUR o la denunciada) por la indebida custodia de sus datos personales, tanto por esa entidad financiera como por la empresa que le presta los servicios de seguridad y control de los cajeros automáticos, al haber extraviado la Libreta de Ahorros de la que es titular. Según relató, el 01/12/2013 introdujo su Libreta en un cajero de CAJASUR sito en el Hospital Reina Sofía y no pudo recuperarla. Tras contactar telefónicamente con el servicio de incidencias le remitieron a su sucursal en la que explicó lo acontecido y le informaron que en unos días recuperaría la Libreta bancaria. Sin embargo, el 17/12/2013, le comunicaron que la Libreta se había extraviado. El Director de la AEPD, en resolución de 18/03/2014 recaída en el expediente E/01514/2014, acordó archivar la denuncia formulada y no incoar actuaciones inspectoras al no haberse aportado con ella indicios razonables de los que pudiera deducirse que la entidad financiera había perdido la Cartilla de Ahorros. La resolución de archivo fue recurrida en reposición (RR/00296/2014) aportando la recurrente en ese trámite, entre otros documentos, una copia de la carta que le remitió CAJASUR el 18/02/2014, en respuesta a la reclamación presentada en Servicio de Atención al Cliente, en la que le confirmaban que “desafortunadamente no se ha conseguido localizar la libreta en cuestión”. El Director de la AEPD dictó resolución el 06/08/2014 estimando el recurso de reposición y acordando abrir el expediente de actuaciones previas de inspección E/04710/

1. SEGUNDO: En cumplimiento de lo ordenado por el Director de la AEPD en la resolución que estimó el RR/00296/2014, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Con fecha de 20/01/2014 tiene entrada en esta Agencia un escrito del ayuntamiento de Córdoba adjuntando escrito de A.A.A. en el que declara que el 1/12/2013 introduce su cartilla de ahorros en un cajero del cual no puede recuperarla al quedarse atrapada en dicho cajero. Realiza diversas gestiones con el banco rogando que recuperen la cartilla que según le manifiestan, había sido extraviada. Con fecha 18/3/2014 el Director de la Agencia Española de Protección de Datos firma resolución inadmitiendo a trámite la denuncia por falta de pruebas que permitan acreditar los hechos denunciados. Con fecha 3/4/2014, se recibe recurso de reposición a la resolución citada adjuntando hoja de reclamación ante el servicio de atención al cliente de la entidad bancaria así como respuesta confirmando el extravío de la cartilla. Se estima el recurso de reposición el 6/8/2014 iniciándose las presentes actuaciones de investigación. ACTUACIONES PREVIAS Con fecha 10/12/2014 se solicita información a Cajasur Banco SAU y de la respuesta facilitada se desprende lo siguiente:
2. Manifiestan que efectivamente la libreta en cuestión, como se especificó en la respuesta dada, estuvo desaparecida del circuito habitual, pero con posterioridad y en fechas recientes, ha sido recuperada, en una revisión técnica del cajero, entre los mecanismos internos del mismo y en un estado más que lamentable. Adjuntan fotocopias.
3. Por motivos que se desconocen, posiblemente mecánicos, no se alojó en el cajetín que habitualmente alberga este tipo de rechazos.
4. La propia oficina, al verificar estado de la libreta, y habiéndole facilitado una información perfectamente válida, como fue un extracto detallado de la cuenta, la estimó suficiente y procedió al archivo de la misma.
5. A día de hoy, está depositada y a disposición de la titular en la propia oficina, lo que a la vista de los acontecimientos, se pondrá inmediatamente en conocimiento de su titular por correo, por si estima conveniente retirarla.
6. Adjuntan copia de la Documentación Operativa, que dentro de los Procesos de Negocio se da a los Cajeros, y más concretamente la parte que afecta al Tratamiento de Tarjetas y/o Libretas Retenidas. Aportan también una Circular más reciente emitida al respecto. Esta documentación está disponible en la intranet corporativa.
7. Manifiestan que los cajeros están dotados del software adecuado que garantiza la seguridad en su operatoria, y son instalados en recintos acorazados o protegidos como en el caso concreto de la denuncia que se encuentra en el interior del Centro Sanitario “Reina Sofía” de esa capital, con las debidas medidas de video vigilancia.
8. Finalmente manifiestan que al ser una circunstancia totalmente excepcional, dadas las características del caso, y a mayor abundancia, visto el motivo a posteriori, no constituye un hito destacable como para implementar ninguna nueva medida de control, a las ya existentes, continuamente mejoradas y actualizadas.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de LOPD, bajo el epígrafe “seguridad de los datos”, impone al responsable del fichero y, en su caso, al encargado del tratamiento, la obligación de “adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, perdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”. (El subrayado es de la AEPD) Paralelamente, el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), dedica el Título VIII a las medidas de seguridad en el tratamiento de los datos de carácter personal. Medidas que clasifica en tres niveles (básico, medio y alto) regulando de forma separada las aplicables a ficheros y tratamientos automatizados (Capítulo III) y las que son aplicables a ficheros y tratamientos no automatizados (Capítulo IV). Entre las medidas básicas que el RLOPD considera de aplicación a los ficheros y tratamientos no automatizados el artículo 108 se refiere a la “Custodia de los soportes” y dispone: “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. III En respuesta al requerimiento informativo que la Inspección de la AEPD dirigió a CAJASUR la entidad comunicó que la Libreta “estuvo desaparecida del circuito habitual” y aclara que la Libreta está en la oficina bancaria a disposición de su titular. A tal fin aporta fotocopia de la portada y la primera hoja de la Libreta que permite comprobar el estado de deterioro en el que se encuentra. CAJASUR ha explicado que por motivos que se desconocen, probablemente mecánicos, la Libreta no se llegó a alojar en el cajetín en el que se albergan estos documentos cuando son rechazados, de manera que sólo al hacer una revisión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 técnica del cajero en el que la introdujo la denunciante pudo ser recuperada, eso sí en un estado lamentable. Añade que la Libreta procedió a depositarse en la propia oficina a disposición de su titular, hecho que se pone en su conocimiento. La entidad ha informado del protocolo de actuación previsto en relación con los cajeros automáticos y más exactamente en lo relativo al tratamiento de las Tarjetas y Libretas retenidas en los cajeros. Añade que sus cajeros están dotados del software adecuado para garantizar la seguridad de la operativa y que están instalados en recintos acorazados y con las debidas medidas de video vigilancia. Entre la documentación que aporta se encuentra el protocolo relativo al “Tratamiento de Tarjetas o Libretas Retenidas” que detalla los pasos a seguir si existen tarjetas y/o libretas retenidas una vez revisado el estado del cajero automático. En él se estipula que cuando se trate de tarjetas propias se mantendrán debidamente custodiadas durante la mañana en espera de recibir llamada telefónica o correo electrónico del Contac Center, previendo diferentes actuaciones en atención a que se reciban o no las llamadas o el correo del Contac Center y en el primer caso en atención a que la Tarjeta y/o Libreta esté en la oficina o no esté en ella. Se contempla asimismo el modo de proceder si las Tarjetas y / o Libretas retenidas en un cajero no son de la entidad. El protocolo de actuación que CAJASUR tiene establecido para el caso de que los documentos bancarios (Tarjetas/Libretas) queden retenidos en los cajeros evidencia que cumple las obligaciones que en materia de seguridad de los datos le impone la normativa de protección de datos, incluida la correcta custodia de estos soportes. Así pues, en el asunto que nos ocupa cabe afirmar que CAJASUR tiene establecidas las medidas encaminadas a la custodia de los documentos bancarios en caso de que sean retenidos en los Cajeros automáticos y que nunca se incumplió el deber de custodia sobre la Libreta de la afectada que corresponde a CAJASUR; tanto cuando se mantuvo en el interior del Cajero como una vez localizada y depositada en la oficina. En definitiva, a la luz de las explicaciones ofrecidas por CAJASUR y de la documentación que aporta no es posible concluir que la denunciada hubiera incumplido las obligaciones que le imponen la LOPD y normas de desarrollo en relación con la custodia de estos documentos. Más al contrario, existen indicios razonables para pensar que las medidas de seguridad implementadas para garantizar la custodia de estos documentos cuando son retenidos en los cajeros fueron las correctas, de modo que no obra en el expediente ninguna prueba, documento o indicio que justifique la imputación a CAJASUR de una infracción de la obligación que le impone el artículo 9 de la LOPD de garantizar la seguridad de los datos personales de sus clientes. En este orden de ideas se ha de tener en cuenta que es doctrina consolidada del Tribunal Constitucional (por todas, SSTC 131/2003, de 30 de junio, y 242/205, de 10 de octubre) que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundamentada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria tanto de la comisión del ilícito como de la participación del denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 La Jurisprudencia del Tribunal Supremo se pronuncia en igual sentido (por todas, STS 23/11/2004, Rec. 207/2001) pues alude a la necesidad de que en Derecho Administrativo sancionador exista una prueba plena de la culpabilidad, de tal forma que la presunción de inocencia prime en todas aquellas situaciones en las que se plantee la duda sobre la posible responsabilidad del sometido a procedimiento. De acuerdo con este planteamiento el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “
9. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” La aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación, prueba de cargo de la que se carece en el presente caso lo que conduce al archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
10. PROCEDER AL ARCHIVO de las presentes actuaciones.
11. NOTIFICAR la presente Resolución a CAJASUR BANCO, S.A.U., A.A.A.. y a D.ª De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es