E-04947-2014

1/6 Expediente Nº: E/04947/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IBERCAJA BANCO, S.A., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 19/12/2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD), remitido por la OMIC de Torrejón de Ardoz, un escrito de A.A.A. (en lo sucesivo la denunciante) en el que manifiesta que IBERCAJA BANCO, S.A.,(en lo sucesivo, IBERCAJA o la denunciada) ha incumplido el deber de secreto al haber facilitado información relativa a una cuenta bancaria de su titularidad a S.J, de quien dice estuvo en el pasado autorizada en la referida cuenta. El Director de la AEPD, en resolución de fecha 28/02/2014 en el marco del expediente E/01049/2014, acordó el archivo de la denuncia toda vez que no se habían aportado con ella evidencias o indicios razonables de los que pudiera inferirse la realidad de los hechos denunciados. La resolución de archivo fue recurrida en reposición el 06/03/2014 (RR/00572/2014) aportando la recurrente los siguientes documentos:copia del contrato de depósito a la vista y contrato marco de servicios de pago celebrado el 31/10/2013, correspondiente a la cuenta ***CCC.1de la que la recurrente es titular y en la que no figura autorizada ninguna persona, que fue firmado en sustitución de uno anterior, de 06/06/2013, cuya copia también aporta, en el que B.B.B. aparece como persona autorizada, lo que vendría a acreditar que en fecha 25/11/2013, fecha en la que la denunciante estima que IBERCAJA hizo entrega a B.B.B. de la copia del contrato y del extracto de su cuenta bancaria, ya no estaba legitimada para acceder a su información bancaria. El Director de la AEPD en resolución de 04/09/2013 estimó el recurso de reposición (RR/00572/2014) y ordenó a la Subdirección General de Inspección de Datos que procediera a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/04947/2014. SEGUNDO: En cumplimiento de lo ordenado por el Director de la AEPD en la resolución que estimó el RR/00572/2014, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS DE INSPECCIÓN C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Con fecha de 19 de diciembre de 2013, tiene entrada en la Agencia Española de Protección de Datos (AEPD) escrito de A.A.A., trasladado por la Oficina Municipal de Información al Consumidor de Torrejón de Ardoz (OMIC), en el que declara que es titular de una cuenta corriente en la entidad Ibercaja Banco, S.A. (en adelante IBERCAJA) y como autorizada figura B.B.B. Si bien, con fecha de 31 de octubre de 2013, retira personalmente la autorización a dicha persona en la entidad bancaria pero no acredita documentalmente dicha circunstancia. Con fecha de 18 de noviembre puso en conocimiento de la entidad la sustracción de la cartilla bancaria por parte de la Sra. B.B.B. Añade que, posteriormente, la entidad ha facilitado documentación a la Sra. B.B.B. que ha sido facilitada en un juicio de faltas contra la denunciante. Se aporta con el escrito de denuncia la siguiente documentación: Contrato de cuenta ***CCC.1 en el que consta como titular la denunciante, fecha 31 de octubre de 2013, no consta firmado ni por la denunciante ni por la entidad bancaria. Documento emitido por dicha entidad, ALTA DE AVISO en el que se indica: ojo libreta robada extremar precauciones (…) informar antes de operar, vigencia desde 18-11-2013 hasta 99-99-999. Denuncia formulada por la denunciante ante la Dirección General de la policía contra la Sra. B.B.B., el día 20 de noviembre de 2013, en la que manifiesta, entre otros, la sustracción de la cartilla de la entidad IBERCAJA. Escrito dirigido al Juzgado de Instrucción nº 1 de Torrejón de Ardoz, juicio de faltas 1028/2013, de la Sra. B.B.B. con el que se adjunta Contrato de cuenta ***CCC.1 en el que consta como titular la denunciante y autorizada la Sra. B.B.B., sellado por IBERCAJA el día 25 de noviembre y una relación de movimientos de la c.c. ***CCC.1, de fecha 25 de noviembre de 2013. EL Director de la AEPD acuerda proceder al archivo de las actuaciones, con fecha de 28 de febrero de 2014, dado que no se han aportado evidencias ni indicios de los que pueda deducirse que solicitó a la entidad denunciada que excluyera a la Sra. B.B.B. como autorizada en su cuenta corriente, referencia E/1049/2014. Con fecha de entrada en la AEPD el día 1 de abril de 2014, la denunciante presenta Recurso de Reposición en el que reitera que, el día 31 de octubre de 2013, f igura en calidad de titular y cómo único interviniente según Contrato de cuenta ES** *** XXX 7120, que se firmó en sustitución del contrato de la citada cuenta, de 6 de junio de2013, en el que figuraba la Sra. B.B.B.como autorizada, lo que acredita que el 25 de noviembre de 2013, fecha en la que IBERCAJA entregó a la citada persona la documentación de la cuenta, ésta ya no tenía la condición de autorizada. Se aportan los tres documentos emitidos por IBERCAJA y que ya fueron aportados con el escrito de denuncia. El Director de la AEPD Resuelve, con fecha de 4 de septiembre de 2014, estimar el Recurso de Reposición (referencia RR/0572/2014) interpuesto por la denunciante, contra la Resolución de fecha 28 de febrero de 2014, y ordenar a la Subdirección General de Inspección de Datos que proceda a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/04947/2014. Con fecha de 29 de septiembre de 2014 se procede a la asignación de las presentes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 actuaciones con referencia E/4947/2014 al inspector que suscribe el presente informe. ACTUACIONES PREVIAS DE INSPECCIÓN La entidad financiera IBERCAJA ha comunicado a la Inspección de Datos, con fecha de 24 de noviembre de 2014, en relación con la emisión y entrega de documentación a la Sra. B.B.B. que no les consta solicitud alguna al respecto y que tampoco les consta su entrega a dicha persona.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD regula el “Deber de secreto” y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Este precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por los titulares de los datos. La Audiencia Nacional, de manera reiterada, viene considerando que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero “sin que pueda presumirse tal revelación” (por todas SAN de 11 de junio de 2009) III La denuncia que examinamos versa sobre el incumplimiento del deber de secreto que se atribuye a IBERCAJA materializado en la supuesta entrega por esta entidad a B.B.B. de información bancaria de la denunciante, en particular de una copia del contrato de depósito a la vista ***CCC.1suscrito el 06/06/2013 en el que B.B.B. figura como persona autorizada y de un extracto de los movimientos registrados en la citada cuenta entre el 21/10/2013 y el 21/11/2013. La denunciante ha manifestado que tales documentos se aportaron como prueba en el Juicio de Faltas 1028/2013 seguido ante el Juzgado de Instrucción número 1 de Torrejón de Ardoz. A tal fin remitió a la AEPD con la denuncia copia del escrito de proposición de prueba presentado en el procedimiento penal por la Letrada de B.B.B. en el que se relacionan -formando parte de la prueba documental- como documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 números 4 y 4.1 la “Copia del Contrato de depósito a la vista de la cuenta de Ibercaja a nombre de A.A.A. y (B.B.B.) “ y el “Documento expedido por Ibercaja en fecha 25 de Noviembre de 2013, en donde constan los movimientos realizados con posterioridad a la denuncia presentada”. Ambos documentos llevan impreso un sello con la siguiente leyenda: “IBERCAJA, Torrejón de Ardoz 3, 25 NOV 2013, Clave ***CLAVE.1, COMPENSADO, ibercaja s.a.u.” La Inspección de Datos requirió a IBERCAJA para que acreditara que B.B.B. le solicitó la entrega de los documentos mencionados aportados al Juicio de Faltas por su Letrada y que la denunciante había consentido su emisión y entrega, así como para que explicara el motivo por el cual, no siendo B.B.B. interviniente en ningún concepto en la cuenta bancaria aludida, le fue entregada la documentación. Las actuaciones de investigación practicadas no han permitido confirmar la versión de los hechos que ofrece la denunciante, esto es, que la documentación relativa a su cuenta bancaria fue facilitada por IBERCAJA a B.B.B. A este respecto IBERCAJA ha comunicado a la AEPD que no tiene constancia de que B.B.B. le hubiera solicitado la documentación mencionada ni tampoco de que le hubiera hecho entrega de ella. Llegados a este punto debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal teniendo plena virtualidad el principio de presunción de inocencia que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26/10/1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
2. a)La prueba indiciaria ha de partir de hechos plenamente probados.
3. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” IV Finalmente, y sin perjuicio de las consideraciones precedentes, procede indica que, incluso en la hipótesis de que llegara a acreditarse que IBERCAJA hizo entrega a B.B.B. de los documentos en los que la denunciante concreta la revelación de secreto atribuida a la entidad financiera, en ningún caso podría apreciarse la comisión de una infracción del artículo 10 de la LOPD por el hecho de haber entregado a B.B.B. la copia de un contrato de cuenta corriente en el que ésta tenía condición de “autorizada”. La revelación de secreto presupone que los datos de carácter personal se pongan en conocimiento de un tercero. B.B.B. figura en el documento contractual que supuestamente le entregó IBERCAJA, y cuya copia obra en el expediente, como persona autorizada en la cuenta bancaria por lo que no puede considerarse “tercero” respecto a la información vinculada al referido contrato, al menos hasta la fecha en la que dejó de estar autorizada en él. La condición de autorizada es fruto de la libre voluntad de la titular de la cuenta y actual denunciante y en virtud de tal condición B.B.B. pudo acceder a la información asociada a la cuenta bancaria que obraba en los ficheros de la entidad financiera denunciada. Así pues, en el presente caso, a la luz del principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor, corresponde acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a IBERCAJA BANCO, S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es