E-05075-2013

1/7 Expediente Nº: E/05075/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad NOVAGALICIA BANCO, S.A.U., en virtud de denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 24/06/2013 ha tenido entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo la denunciante) en el que expone que NOVAGALICIA BANCO, S.A.U. ( en lo sucesivo, NOVAGALICIA o la denunciada) facilitó información personal de carácter financiero sin su consentimiento a una tercera persona, su madre, D. ª D.D.D.., tanto verbalmente como por escrito. Aporta con la denuncia copia del DNI, copia del documento de “Información de riesgo” a nombre de D.D.D.., de fecha 33/03/2013, y copia del documento relativo a “Información de contratos general” a nombre de la denunciante, de fecha 16/04/2013. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones de Actuaciones Previas de Investigación que se reproduce: <<ACTUACIONES PREVIAS Con fecha 30 de abril de 2014, NOVAGACLIA BANCO S.A. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. No disponen de documentación acreditativa de la solicitud realizada por la denunciante que haya motivado la obtención de los datos que figuran en el documento que aporta “Información de Contratos Genera”. No obstante, según manifiestan, que una oficina de la entidad pueda proporcionar al cliente que se la solicite información sobre sus posiciones en el Banco, no se requiere que el cliente solicitante presente su petición por escrito, sino que basta con que se identifique debidamente, mediante DNI u otro documento fehaciente, a fin de garantizar que la información es solicitada y obtenida por el propio cliente titular de la misma. 2. No pueden aceptar las manifestaciones que la denunciante y su madre han efectuado referentes a que el citado documento habría sido facilitado a la madre de la denunciante por la directora de la oficina del Banco, sita en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 (C/.............1). 3. La normativa interna del Banco, en materia de protección de datos, de obligado cumplimiento para el personal de nuestra Entidad, establece claramente, de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal y en sus disposiciones de desarrollo, que cualquier dato de carácter personal objeto de tratamiento en la entidad es confidencial y se encuentra protegido por el secreto profesional, y que, en consecuencia, cuantos tengan conocimiento de cualesquiera datos contenidos en sus ficheros o en los tratamientos efectuados por éste deberán mantener estricto secreto y rigurosa confidencialidad respecto de dichos datos, deber que subsistirá, incluso, después de finalizada su relación con el Banco. 4. Por tanto, en su Norma General n° 14/2011 (LOPD — Protección de Datos), y tras describirse el deber de confidencialidad comentado, se dispone inequívocamente que: “Sin perjuicio de las excepciones legalmente previstas, se prohíbe categóricamente facilitar datos de un cliente a cualquier otra persona, salvo que ésta acredite encontrarse debidamente autorizada por dicho cliente titular de los datos para recabar y obtener información sobre los mismos. Esta prohibición habrá de observarse incluso cuando la persona solicitante de la información acredite relación familiar, por próxima que sea, con el cliente al que los datos conciernan”.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD bajo la rúbrica “Deber de secreto” dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 titulares. La Audiencia Nacional, de manera reiterada, viene considerando que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (por todas SAN de 11/06/2009. El Tribunal Superior de Justicia de Madrid en Sentencia de 19/07/2001 afirmó que “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. (El subrayado es de la AEPD) En idéntico sentido se ha pronunciado la Audiencia Nacional, que en Sentencias de 14/09/2001 y 29/09/2004 declaró que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE.” En definitiva, como expone el Tribunal Constitucional, el artículo 10 de la LOPD contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Derecho fundamental a la protección de los datos que “persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino”, (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. III En relación con el asunto que nos ocupa -la presunta infracción del deber de secreto que se atribuye a NOVAGALICIA, materializada en la revelación, tanto verbal como por escrito, de información financiera de carácter personal de la denunciante relativa a los contratos bancarios y a las posiciones de las cuentas de su titularidad abiertas en la citada entidad- , debe advertirse que la denunciante no ha remitido a la AEPD con su denuncia ninguna prueba de la que se infiera la realidad de los hechos que expone. Así, las únicas aportaciones de la denunciante a tal fin son, por una parte, su declaración y, por otra, el testimonio de D.D.D., su madre, a quien presuntamente la entidad financiera denunciada habría revelado información personal de la afectada sin su consentimiento. Ninguno de estos elementos tiene virtualidad suficiente para destruir la presunción de inocencia que garantiza la Constitución Española, artículo 24.2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Así, en respuesta al requerimiento que la Inspección de Datos dirigió a la denunciante para que facilitara a la AEPD “Acreditación o indicios de que el documento número 3 [el que según su versión NOVAGALICIA entregó a su madre, D.D.D., por propia iniciativa, con información confidencial de sus contratos y posiciones bancarias,] fue facilitado en soporte documental a Dña. D.D.D.”, la denunciante envió un escrito firmado por su madre con su “manifestación”, que confirma la versión de los hechos que se relata en la denuncia. En ese escrito D.D.D.. indica que la Directora de la oficina bancaria, “Ante el problema suscitado por la no concesión del préstamo pretendido, me planteó la posibilidad de que otra persona me avalase (..) procediendo en ese acto la Sra…a consulta, de forma unilateral, las bases de datos de mis hijas, procediendo en ese mismo acto a informarme, tanto verbalmente, como haciendo entrega de soporte papel de los extractos de cuentas bancarias, saldos y otros productos financieros en los que figuraba como titular (…) C.C.C. …Ese soporte papel que me hizo entrega sin yo solicitarlo, la Directora de la citada sucursal bancaria coincide con el que mi hija aportó como documento nº3 que acompaña a la denuncia interpuesta ante la Agencia de Protección de Datos”. Sobre el nulo valor probatorio de este tipo de declaraciones puede mencionarse la SAN de 14/03/2013 (Rec.394/20111) en la que el Tribunal examinó la infracción del deber de secreto por la que la Agencia había sancionado a la entidad recurrente y en la que se entró a valorar las pruebas que la resolución de la AEPD impugnada había tomado en consideración en orden a acreditar dicha infracción. En particular, respecto a las pruebas esgrimidas por uno de los denunciantes (el número 5), que había “aportado la declaración de su hermano, en la que este manifiesta que ha recibido llamadas de X en su domicilio en las que le comunicaron que su hermano tenía una deuda con dicha entidad”, -prueba que la Agencia consideró suficiente para acreditar la comisión de una infracción del deber de secreto-, la Audiencia Nacional llega a una conclusión opuesta y dijo que “la citada declaración aportada por el denunciante 5 carece de consistencia para desvirtuar la presunción de inocencia que ampara a X y acreditar la infracción del deber de secreto imputada”, por lo que estimó el recurso y anuló la sanción impuesta por la Agencia. Es más, a la falta de pruebas de la denunciante que corroboren su versión de los hechos, se añade la circunstancia de que la declaración facilitada por NOVAGALICIA durante las actuaciones de investigación previa contradice frontalmente la versión de la denunciante y de su madre, D.D.D. NOVAGALICIA ha informado que no dispone de documentación acreditativa de la solicitud realizada por la denunciante que haya dado lugar a la obtención de los datos que figuran en el documento que esta dice que se entregó a su madre, porque para que una oficina de la entidad pueda proporcionar al cliente que la solicita información sobre sus posiciones bancarias no se le requiere que haga una solicitud por escrito sino, únicamente, que se identifique debidamente mediante el DNI u otro documento fehaciente, a fin de garantizar que quien solicita la información y la obtiene es el titular de la misma. Y, en consonancia con ello, añade que su Norma General 14/2011 “prohíbe categóricamente facilitar datos de un cliente a cualquier otra persona, salvo que esta acredite encontrarse debidamente autorizada por dicho cliente (..) para recabar y obtener información, (..) prohibición habrá de observarse incluso cuando la persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 solicitante de la información acredite relación familiar, por próxima que sea, con el cliente al que los datos conciernan” Así las cosas, ante la falta de pruebas que confirmen los hechos denunciados, debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
2. a)La prueba indiciaria ha de partir de hechos plenamente probados.
3. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” De la exposición precedente se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Muy significativa es la precitada SAN de 14 de marzo de 2013 (Rec.394/20111), en la que el Tribunal examinó la infracción del deber de secreto por la que la Agencia sancionó a la entidad recurrente, por revelar a terceros datos personales del denunciante (entre ellos su condición de moroso). La Sentencia estimó el recurso contencioso administrativo interpuesto contra la resolución sancionadora, por una infracción del artículo 10 LOPD, por cuanto el Tribunal consideró que la Agencia no había acreditado suficientemente que la entidad hubiera facilitado a terceros información sobre sus clientes. La citada SAN comienza recordando “El principio de presunción de inocencia recogido en el artículo 24.2 de la Constitución y 1371 de la LRJPAC, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (…) implica que la carga de la prueba de los hechos constitutivo de la infracción recaiga sobre la Administración…”. Y concluye que “al no haberse acreditado la infracción del deber del secreto por la que ha sido sancionada la entidad demandante” se estima el recurso y se anula la sanción impuesta. (El subrayado es de la AEPD) A la luz de las consideraciones precedentes y toda vez que en el asunto que nos ocupa la denunciante no ha aportado pruebas, ni siquiera indiciarias, de las que se infiera la comisión de una infracción del artículo 10 de la LOPD que atribuye a NOVAGALICIA,, en aplicación de los principios que rigen en el procedimiento administrativo sancionador, procede acordar el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a NOVAGALICIA BANCO, S.A.U., A.A.A. A.A.A.. y a De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es