E-05842-2013

1/8 Expediente Nº: E/05842/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO DE SANTANDER, S.A., en virtud de denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 27/08/2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de A.A.A. (en lo sucesivo el denunciante) en el que el expone que el BANCO DE SANTANDER, S.A., (en lo sucesivo la denunciada o BANCO SANTANDER), entidad con la que tiene un crédito pendiente, ha revelado información financiera de carácter personal a terceras personas (su hermana y padres de la novia de su hijo) y ha tratado datos personales de terceros sin consentimiento. En fecha 05/09/2013 el denunciante remitió a la AEPD una impresión de pantalla de un sms enviado el 27/08/2013, supuestamente al móvil de su hermana, desde el número +***TEL.1, con el siguiente texto: “ (..) Dirigido a Sr/ a A.A.A. deuda B.SANTANDER contacte para solución urgente al ***TEL.2 (..)”. Posteriormente, en respuesta a un requerimiento de la Inspección de Datos, el denunciante informó de que el sms se había enviado a la línea telefónica número ***TEL.3 y a fin de acreditar que la titular de la citada línea era su hermana aportó copia de una factura de teléfono en la que consta como titular la empresa ADECUACIÓN DE ALTERNATIVAS, S.L., con la que –dice- colabora su hermana. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que reproducimos: <<ANTECEDENTES Con fecha de 27 de agosto de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<Soy titular de un crédito con el Banco Santander, oficina Principal de Ávila, con mi hijo ***NOMBRE.1 como avalista del que en la actualidad queda un saldo pendiente de unos 600€ y que debido a problemas financieros se pagan las cuotas con algún retraso (15-45 días). Dichos retrasos se me comunican por teléfono normalmente y en mensajes al móvil y/o a su buzón y por cartas no certificadas las cuales recojo como acredito con la adjunta, por lo que perfectamente me doy por enterado, otra cosa es que pueda en esos momentos abonar las cuotas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 A pesar de ello y para intimidar y acosar, la entidad llama telefónicamente también tanto a mi hermana ***NOMBRE.2, como en el colmo de los despropósitos a los padres de la novia de mi hijo para comunicarles esta situación, llamadas que se pueden comprobar con las memorias de los teléfonos móviles correspondientes. Es decir están violando la confidencialidad de los datos de mi situación bancaria y además están utilizando números de teléfono de otros clientes de esa Entidad, que en ningún momento les han autorizado para ningún fin que no sea el personal de cada uno de ellos. Por todo ello es por lo que lo pongo en su conocimiento para que evalúen si están incumpliendo la legislación vigente lo que supondría una violación de mis derechos y del resto de personas a las que llaman sin ninguna autorización y que especialmente incumplen el artículo 12.2 de la Ley Orgánica, que dice textualmente: “Ello implica que el encargado únicamente puede emplearlos datos obtenidos como consecuencia de un encargo en el marco del propio encargo, por lo que aplicar estos datos a otra actividad distinta de la específicamente regulada en el encargo implicaría una infracción del artículo 12.2 de la Ley Orgánica, siendo así que si dichos datos se conservan o utilizan una vez terminado ese encargo se estaría vulnerando igualmente lo dispuesto en el artículo 12.2 de la citada Ley Orgánica.>> En una aportación documental posterior manifiesta: <<Como continuación a la misma les adjunto imagen de un mensaje enviado al móvil de mi hermana, que nada tiene que ver con el préstamo, ni están sus datos en la cuenta del mismo, donde se le informa de mi deuda de forma ilegal.>> Aportando fotografía de un SMS en el que figura: <</13-Dirigido a Sr/a A.A.A. deuda B. SANTANDER contacte para solución urgente al ***TEL.2. Ref: *****/13>> Informa el denunciante que dicho mensaje fue recibido en la línea móvil número 600******. Aporta el denunciante una página de una factura según la cual el titular de la línea es la entidad ADEQUACION DE ALTERNATIVAS S.L. ACTUACIONES PREVIAS 1. Mediante escrito de fecha 24 de marzo de 2014 se solicitó al denunciante determinada información. Consta recibida dicha solicitud en fecha 1/4/2014, que no fue contestada. 2. Mediante escrito de fecha 30 de mayo de 2014 se reiteró al denunciante la mencionada solicitud, quien no ha aportado la documentación solicitada, contestando: <<… le informo que no había enviado ninguna documentación en el requerimiento anterior porque ya no voy a seguir con la reclamación dado que recibí contestación de la entidad financiera por el que procedían a dar de baja todos los datos de las personas, teléfonos y direcciones que nada tuvieran que ver conmigo y se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 comprometían a informarme tan solo a mí por escrito, como así hicieron. Por otro lado la deuda que mantenía con la entidad fue abonada en su totalidad y se canceló el crédito causante del conflicto, por lo que por medio de la presente le solicito archive la denuncia, ...>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia que nos ocupa versa sobre la supuesta revelación a terceros de datos personales del deudor relativos a su situación financiera que BANCO SANTANDER habría efectuado sin su consentimiento y sobre el tratamiento, sin consentimiento de sus titulares respectivos, de los números de teléfono de su hermana y de los padres de la novia de su hijo a los que dirigió, según parece, varias llamadas telefónicas y envió sms. El denunciante, sin embargo, no ha aportado ninguna prueba de las comunicaciones telefónicas y sms que la denunciada hizo a terceras personas y en las que el BANCO SANTANDER –con el que tenía un crédito pendiente- habría, supuestamente, vulnerado el deber de secreto que le incumbe. Si bien el denunciante facilitó a la AEPD con posterioridad a la presentación de su denuncia la impresión de pantalla de un sms recibido en un terminal móvil, supuestamente el teléfono de su hermana, desde el número +***TEL.4, y en cuyo texto aparece su nombre, la mención a una deuda pendiente con el BANCO DE SANTANDER y la petición de que contacte urgentemente con el número que figura en pantalla, tampoco este documento tiene virtualidad probatoria de los hechos que denuncia. Esto, porque pese a los requerimientos que la Inspección de Datos de la AEPD hizo al denunciante para que les facilitara los documentos que acreditasen la realidad de los hechos que expone éste no llegó a aportar ninguna prueba que demostrara que el sms remitido desde el número +***TEL.4 se envió, tal y como sostiene, al número ***TEL.3, ni tampoco de que este número de línea fuera titularidad de su hermana o de que la empresa Adecuación de Alternativas, S.L. , se lo hubiera asignado. A) El artículo 10 de la LOPD regula el “Deber de secreto” y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 responsable del mismo”. Este precepto tiene como finalidad evitar que quienes estén en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por los titulares de los datos. La Audiencia Nacional viene considerando que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero “sin que pueda presumirse tal revelación” (por todas STAN de 11/06/ 2009) Como se ha dicho, el denunciante no ha facilitado a la Agencia ninguna prueba o indicio que demuestre que el BANCO SANTANDER reveló a su hermana información sobre su condición de moroso. Los documentos que ha remitido a la inspección de la AEPD no nos permiten afirmar ni que el número de la línea al que el sms se envió fuera el ***TEL.3 ni menos aún que esta línea fuese titularidad de la hermana del denunciante o de que, como dice, su hermana “colaborara“ con la empresa titular de la línea (Adecuación de Alternativas, S.L.) En definitiva, no se han facilitado a este organismo evidencias ni indicios que constituyan un principio de prueba de la vulneración del artículo 10 LOPD que se atribuye al BANCO DE SANTANDER pese a haberse solicitado por la Inspección de Datos al denunciante los documentos procedentes para ello. El único elemento que el denunciante ha facilitado a este respecto es su manifestación, insuficiente por sí sola para enervar el principio de presunción de inocencia. Así las cosas, debemos recordar que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Como ha precisado el Tribunal Supremo en Sentencia (STS) de 26/10/1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” En STC 24/1997 el Tribunal Constitucional ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
2. a)La prueba indiciaria ha de partir de hechos plenamente probados.
3. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” De la exposición precedente se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. B) La denuncia que nos ocupa versa también sobre el tratamiento que el BANCO DE SANTANDER habría hecho, supuestamente, del número de teléfono de la hermana del denunciante y del número de los padres de la novia de su hijo sin su consentimiento, -tratamiento materializado en las llamadas telefónicas que, dice, efectuó y en los sms enviados-. Respecto al tratamiento por BANCO DE SANTANDER de estos números de teléfono (extremo que, insistimos, no ha quedado acreditado) debe indicarse que incluso en la hipótesis de que efectivamente tales datos hubieran sido objeto de tratamiento no cabría apreciar en esa conducta infracción de la normativa de protección de datos. Sobre esta cuestión se ha pronunciado en diversas Sentencias la Sala de lo Contencioso Administrativo de la Audiencia Nacional. Así, en Sentencia de 14/05/2009 (Rec. 181/2007) la Audiencia Nacional expone que “al haber prestado el denunciante su consentimiento para el tratamiento de determinados datos personales como su nombre y apellidos, domicilio y número de teléfono, en el contexto de una relación contractual, ese consentimiento inicial continúa proyectándose mientras permanece la relación contractual respecto de datos personales del mismo tipo que los que fueron proporcionados y autorizado su uso, siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato ningún reproche puede hacerse por tanto al tratamiento de dichos datos. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Añade la citada Sentencia que “incluso la LOPD prescinde de la necesidad del consentimiento al establecer como excepción al mismo - en el apartado 2 del artículo 6 - que no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o cumplimiento”. La Audiencia Nacional ha reiterado este criterio en Sentencias posteriores, así las de 21/01/2010 y 22/07/2010. En ellas se hace referencia a la obtención por parte de un encargado del tratamiento, contratado por un determinado acreedor, de datos adicionales que permiten conocer el domicilio o número de teléfono de un deudor determinado, habiéndose obtenido el nuevo dato del deudor de fuentes tales como ficheros que tienen el carácter de fuente accesible al público, detectives privados (SAN de 21 de enero de 2010, Rec 694/2008) o incluso la solicitud de información a familiares del deudor (SAN de 14 de mayo de 2009,Rec. 181/2007). En el asunto que nos ocupa era evidente que el tratamiento de los datos del denunciante continuaba siendo necesario para la ejecución del contrato que suscribió con BANCO DE SANTANDER, pues como él mismo ha reconocido existían recibos pendientes de pago y debido a problemas financieros las cuotas se pagaban con un cierto retraso, de manera que, como advierte la Audiencia Nacional en sus resoluciones, es ajustado a la LOPD que el encargado de tratamiento realice gestiones para obtener y tratar otros datos que permitan la comunicación con el deudor. Ahora bien, la legitimación para el tratamiento de los datos comprende el tratamiento de los datos del cliente y no el de las personas de su entorno, por lo que si BANCO DE SANTANDER aún los estuviese tratando debería proceder a su cancelación cuando haya actualizado los datos del deudor (del denunciante) de forma que pueda ser localizado y, en todo caso, cuando el tercero afectado -en este caso la hermana de la denunciante o los padres de la novia del hijo- ejerzan su derecho de cancelación, al prevalecer en estos casos el derecho a la protección de datos sobre el interés del acreedor. A tenor de las consideraciones precedentes y habida cuenta de que no existen pruebas de una infracción de la normativa de protección de datos que se atribuye al BANCO SANTANDER, procede acordar el archivo de las presentes actuaciones. III Finalmente parece conveniente hacer una breve mención a la petición que el denunciante hace en el último de sus escritos, de 17/06/2014, en el que solicita que se archive la denuncia formulada en su día contra BANCO SANTANDER, pues, según explica, ha recibido contestación de la entidad indicándole que procedía a dar de baja todos los datos de las personas, teléfonos y direcciones que no tenían relación con él y comprometiéndose a informarle a él exclusivamente, a lo que añade que la deuda que mantenía con ella ha sido abonada en su totalidad y se ha cancelado el crédito causante del conflicto. El Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora (REPEPOS) establece en el artículo 11.1 que “Los procedimientos sancionadores se iniciaran siempre de oficio, por acuerdo del órgano competente, bien por propia iniciativa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 o como consecuencia de orden superior, petición razonada de otros órganos o denuncia”. Precepto que coincide, en esencia, con los artículos 68 y 69 de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Resulta, por tanto, que los procedimientos sancionadores se inician siempre de oficio sirviendo la denuncia únicamente como instrumento de transmisión de la información sobre una conducta presuntamente infractora. Por ello, corresponde de modo exclusivo al Director de la AEPD la competencia para decidir si, en relación a los hechos que se han puesto en conocimiento de este organismo a través de una denuncia, debe acordarse la apertura de un expediente sancionador o el archivo de las actuaciones, sin que en la adopción de tal decisión tenga incidencia alguna la manifestación del denunciante solicitando que se le tenga por desistido de la denuncia (el archivo de la denuncia). Como se ha expuesto en el Fundamento Jurídico precedente la decisión de acordar el archivo de las presentes actuaciones tiene su razón de ser en la absoluta falta de pruebas que corroboren los hechos denunciados, siendo irrelevante a tal fin la declaración del denunciante en la que solicita el “archivo de la denuncia”. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al BANCO DE SANTANDER, S.A., y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es