E-05699-2013

1/7 Expediente Nº: E/05699/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades BANCO SANTANDER, S.A. Y CAIXABANK, S.A.. en virtud de varias denuncias presentada ante la misma y en base a los siguientes HECHOS PRIMERO: Con fecha de 28/09/2012 tuvo entrada en esta Agencia un escrito de D. A.A.A. (en adelante el denunciante) en el que declaraba que CAJACANARIAS facilitó a un tercero (su hermano) sus datos bancarios y el flujo de operaciones realizadas por él, de su esposa y de su hijo menor de edad, sin autorización suya o judicial. Indica que queda acreditado, según el expositivo octavo de una demanda interpuesta contra él en el Juzgado de Primera Instancia e Instrucción Nº 3 de La Orotava, que desde la entidad bancaria se han facilitado dichos datos, ya que se cita “Que le consta al conciliante, por haberle informado la entidad bancaria, que la referida cantidad fue ingresada en otra cuenta número K.K.K., cuyos titulares son Dª C.C.C., D. A.A.A. y Ud.” Como del propio párrafo se desprende que D. A.A.A. (persona a la que se facilitaron los datos bancarios y “conciliante” ante el Juzgado), es cotitular de la cuenta junto con el denunciante ante esta Agencia (mencionado como “Ud”. en el párrafo señalado), con fecha 12/04/2013 se procedió a notificar al denunciante la no incoación de actuaciones inspectoras ni de procedimiento sancionador. No obstante, con fecha 17/05/2013 tiene entrada en esta Agencia un nuevo escrito del denunciante en el que aporta nueva información, tanto contra CAJACANARIAS (en la actualidad CAIXABANK, SA) como también contra una nueva entidad, el BANCO SANTANDER, SA. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Respecto a CAJACANARIAS El denunciante indica que después del ingreso que se cita en el párrafo ya mencionado, el día 24/11/2011 se traspasó el saldo a otra cuenta también de CAJACANARIAS, cuya numeración acaba en 3947, con los mismos titulares, y de esa cuenta a otra, acabada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 en 3305, en la cual los titulares son él mismo y su mujer Dª. F.F.F., sin que figure como titular ni autorizado su hermano, persona a la que se facilitaron los datos. Se verifica que en la demanda de conciliación, cuya copia aporta, en el expositivo noveno se citan los saltos del dinero con destino final la cuenta cuya numeración acaba en 3305, mencionándose que dicha cuenta es titularidad del afectado y de su cónyuge. Respecto al BANCO SANTANDER, SA El denunciante indica que en el expositivo quinto de la demanda de conciliación se cita lo siguiente “Que le consta al conciliante, por haberle informado la entidad bancaria, que la referida cantidad de 43.591,03 euros fue depositada por Ud en la misma entidad Banco de Santander en otras cuentas de su titularidad, de su cónyuge Dª. F.F.F. y de su hijo menor de edad, G.G.G.… ” Indica que los datos son ciertos y sólo han podido ser facilitados por empleados del Banco de Santander y más concretamente en la sucursal del municipio de San Juan de la Rambla. Del examen de la denuncia y su documentación adjunta se desprende que si bien el conciliante menciona en su escrito de demanda que la entidad bancaria le informó de los datos, no se tiene más información sobre los supuestos accesos que se debieron realizar a los datos, ni copia de los documentos que se originaran en su caso al efectuar los accesos, ni su fecha. Es decir, únicamente constan manifestaciones del conciliante plasmadas en su demanda ante el Juzgado, en las cuales afirma que le constan los datos “por haberle informado la entidad bancaria”. La únicas fechas que constan son la fecha del traspaso de dinero (24/11/2011) en el caso de CAJACANARIAS, y la notificación del acto de conciliación (20/03/2012), por lo que la información supuestamente fue facilitada entre estas fechas, en el caso de CAJACANARIAS. Sin embargo, no se indican las fechas de las operaciones monetarias en el caso del BANCO SANTANDER SA, ni tampoco de la supuesta comunicación de datos por parte de este banco, todo lo cual dificulta la investigación de los hechos. Debido a la proximidad de la prescripción de los hechos, se realizan dos requerimientos de información urgentes a las dos entidades bancarias, aportando adjuntos a los requerimientos copia de la demanda de conciliación donde constan las manifestaciones del conciliante, obteniéndose lo siguiente: Con relación a CAJACANARIAS (en la actualidad CAIXABANK, S.A., en adelante CAIXABANK) Se ha comprobado la veracidad de la información supuestamente facilitada, es decir, en la cuenta cuya numeración acaba en 3947 cuyos titulares son los hermanos A.A.A. y A.A.A., junto con una tercera persona, se produjo en noviembre de 2011 un traspaso de saldos con destino a una cuenta también en la entidad acabada en 3305, titularidad de B.B.B., denunciante. CAIXABANK ha aportado copia de la consulta de los comprobantes de Traspaso/Transferencia de las operaciones efectuadas en la fecha entre dichas cuentas. Se ha comprobado así mismo que la cuenta acabada en 3305, tiene como titulares exclusivamente al denunciante y a su mujer Dª. F.F.F.. Los representantes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 CAIXABANK han aportado copia de la consulta donde aparecen las personas relacionadas con dicha cuenta (la cuenta ha cambiado de numeración al pasar de CAJACANARIAS a CAIXABANK). Con respecto a la afirmación que se realiza en la demanda de conciliación, expositivo OCTAVO, los representantes de CAIXABANK manifiestan que desconocen cómo accedió a la información. Indican que, sin perjuicio de lo anterior, cabe advertir que el Sr. A.A.A., era titular de la cuenta origen del traspaso (actual cuenta acabada en 0702), por lo que tenía acceso a información de las operaciones que se realizaron en dicha cuenta. Sin embargo, hay que hacer notar que la información que ha sido supuestamente facilitada es la titularidad de la cuenta destino del traspaso, no simplemente la numeración de la cuenta. Se ha requerido a la entidad a aportar los accesos registrados a su sistema de información con el objeto de consultar la titularidad de la cuenta de destino del traspaso, efectuados entre noviembre de 2011 y febrero de 2012, ambos incluidos, por el personal de la sucursal del municipio de San Juan de la Rambla (Santa Cruz de Tenerife). Ante ello, los representantes de la entidad han manifestado que “Les informamos que al tratarse de información de Caja Canarias y anterior a la integración de ésta en Caixabank, la misma no es accesible de forma directa y por lo tanto debe obtenerse y elaborarse, a partir de las copias de seguridad existentes. Por tanto, nos comprometemos a remitirles dicha información en el más breve plazo posible.” Con relación a BANCO SANTANDER SA Los representantes de esta entidad han manifestado lo siguiente: “En nuestros sistemas consta la cancelación de la IPF H.H.H. cuyos titulares son A.A.A. y C.C.C. con fecha 27 de abril de 2011 y no en noviembre de

1. El importe de esta cancelación asciende a 43.500€ que se abonaron en la cuenta I.I.I. de la que son titulares los mismos mencionados anteriormente. No consta que por parte de la Entidad, se haya facilitado información alguna a A.A.A. sobre el destino de los fondos. No obstante como titular de la cuenta ( I.I.I.) origen de la transferencia, donde fueron abonados los fondos los provenientes de la IPF, tiene derecho a conocer los beneficiarios y la cuenta de destino ( J.J.J.) de esa transferencia. […] al no tratarse de medidas de seguridad de nivel ALTO, no se lleva el registro de accesos previsto en el art 103 del Reglamento de la LOPD. Y aunque existe un sistema de control de accesos, tal y como regulan las medidas de seguridad de nivel MEDIO, éste no conlleva un registro de consultas.” Aportan documentación acreditativa de la titularidad de las cuentas referenciadas, la orden de cancelación de la IPF y de la orden de transferencia entre cuentas. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III En el caso que nos ocupa, el denunciante manifiesta que tanto Banco Santander como CAIXABANK han vulnerado el deber de secreto en la medida en que han facilitado a un tercero datos bancarios suyos y de su esposa e hijo, utilizando el citado tercero dicha información en un procedimiento judicial en el que se encuentran inmersos. En concreto, el tercero es su hermano, y el dato facilitado es el número de cuenta al que ha realizado transferencia por una cantidad de dinero, desde otra cuenta de la que era cotitular con dicho hermano. No obstante, de las actuaciones de investigación practicadas por la Agencia no se ha podido constatar que las entidades denunciadas facilitaran a su hermano información relativa a número de cuenta del denunciante. El denunciante se basa únicamente en que su hermano expresó en su demanda interpuesta contra él que las entidades bancarias denunciadas le habían informado que la cantidad de dinero que se encontraba en la cuenta de titularidad del denunciante y de su hermano había sido ingresada en otras cuentas titularidad del denunciante, de su mujer y de su hijo, sin que exista más información sobre los supuestos accesos que se debieron realizar a los datos, ni copia de los documentos que se originaran en su caso al efectuar los accesos, ni su fecha. Es decir, únicamente constan manifestaciones de su hermano plasmadas en su demanda ante el Juzgado, en las cuales afirma que le constan los datos “por haberle informado la entidad bancaria”. Por tanto, no hay evidencias que permitan señalar que Banco Santander y CAIXABANK hayan revelado datos del denunciante, y ello se deduce de las actuaciones de inspección practicadas por esta Agencia, así como por el hecho de que no se han aportado por el denunciante pruebas que puedan determinar una posible vulneración de la normativa en materia de protección de datos por parte de estas entidades. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
2. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que las entidades denunciadas facilitaran a terceros información sobre sus cuentas. IV A la vista de las consideraciones precedentes y toda vez que hay una falta de pruebas que acrediten los hechos atribuidos Banco Santander y CAIXABANK ,debe concluirse que no existe prueba de cargo suficiente para imputar a las citadas entidades la comisión de una infracción del artículo 10 de la LOPD, por lo que procede acordar el archivo de las actuaciones previas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
3. PROCEDER AL ARCHIVO de las presentes actuaciones.
4. NOTIFICAR la presente Resolución a CAIXABANK, S.A. y a D. A.A.A.. BANCO SANTANDER, S.A., De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es