E-07219-2020

1/6  Procedimiento Nº: E/07219/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante), tiene entrada con fecha 20 de septiembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el BANCO SANTANDER, S.A., con NIF A39000013 (en adelante, el reclamado o BS). Los motivos en que basa la reclamación son los siguientes: El 26 de julio de 2017 el reclamante abrió varias cuentas en el BS. Al momento de su apertura, la empleada, al consultar su NIF, le dio domicilio y teléfonos que eran concordantes con los de un despacho profesional (de los varios que ha tenido) de hace 20 años; es decir, el banco tenía sus datos de hace 20 años sin que previamente hubiera existido una relación contractual, ya que nunca antes había sido cliente del BS. Estima que dichos datos provienen de una operación de crédito solicitada a BANSANDER DE FINANCIACIONES, S.A. (en adelante, BANSAFINA), en fecha 8 de febrero de 1995. Operación finalizada el 8 de febrero de 1999. Tras recibir una publicidad de esta empresa en mayo del 2003, solicitó la cancelación de datos, el día 8 de mayo de 2003. En la contratación de los productos referidos en el primer párrafo facilitó como único domicilio fiscal válido un apartado de correos. En el momento de examinar los contratos correspondientes, verificó que en algunos contratos constaba como domicilio el apartado de correos facilitado y en otros, la dirección antigua sobre la que había ejercido su derecho de cancelación en 2003. Ejerció su derecho de rectificación y aunque la reclamada le comunicó que los datos habían sido rectificados, al realizar una operación en agosto de 2017, comprobó que no se había realizado la rectificación solicitada. Documentación relevante aportada por el reclamante: o Copia de escrito ejerciendo su derecho de cancelación de datos frente a BANSAFINA con fecha de firma de 8 de mayo de 2003. o Copia de la reclamación presentada en esta Agencia con fecha de 17 de junio de 2003 denunciando la conservación de sus datos por BANSAFINA una vez terminada la relación contractual con esta entidad y no haber recibido confirmación al ejercicio de cancelación de datos referido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Hay que destacar que, durante la tramitación de esta reclamación, se hizo efectiva la notificación al reclamante de la cancelación por parte de BANSAFINA. o Copia de escrito ejerciendo su derecho de rectificación de domicilio dirigido a BANCO SANTANDER, S.A. con fecha de acuse de recibo de 28 de julio de 2017 y respuesta de la entidad informando de que habían pasado las instrucciones oportunas a la unidad correspondiente. o Copia de la orden de venta de valores con fecha de 21 de agosto de 2017 donde sigue figurando el domicilio sin rectificar del reclamante. o Contratos con fecha 3 y 26 de julio de 2017 con la casilla de consentimiento de cesión de datos a otras entidades del grupo ya marcadas. Los antecedentes que constan en los sistemas de información son los siguientes: Expediente tutela de derechos TD/00306/2003 Tras la solicitud de rectificación del domicilio ejercitada por el reclamante, y tramitado el procedimiento de Tutela de Derechos TD/00306/2003, se resuelve estimar la reclamación formulada por el reclamante e instar al BANCO SANTANDER, S.A., para que remita a la parte reclamante certificación en la que se haga constar que ha atendido el derecho de rectificación ejercido por éste o se remita certificación en la que se haga constar las causas por las que no procede considerar la rectificación de sus datos. Con fecha 30 enero de 2018 se recibió en la Agencia, escrito remitido por la reclamada manifestando el cumplimiento de medidas solicitadas en la mencionada resolución de 17 de enero de 2018. Expediente tutela de derechos TD/02311/2017 Se inicia un nuevo procedimiento de Tutela de Derechos por no rectificar los datos por parte de la reclamada. Además, se indica que al finalizar la relación contractual los datos debieron bloquearse y no mantenerse transcurridos más de 12 años. BS contesta a la Agencia que, el 17 de noviembre de 2017, se había procedido a la cancelación de los datos del reclamante. Se estima la Tutela y se vuelve a instar a la rectificación de los datos solicitada. Expediente RR/00110/2018 Con fecha de 19 de febrero de 2019 se recibe en esta Agencia recurso de reposición presentado por el reclamante contra la mencionada resolución de esta Agencia, manifestando que no se había entendido correctamente el fondo del asunto de su reclamación, en la que denunciaba unos hechos constitutivos de vulneración de la normativa de protección de datos y no una solicitud de tutela. Examinado el recurso de reposición presentado por el interesado, no se aprecia que aporte hechos ni argumentos jurídicos nuevos que permitan reconsiderar la validez de la resolución impugnada, por lo que, con fecha de 15 de marzo de 2018, la Directora de esta Agencia resuelve desestimar el recurso de reposición interpuesto por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Expediente CA/00095/2018 Con fecha de 25 de junio de 2018 se recibe en esta Agencia escrito de la Audiencia Nacional, Sala de lo Contencioso Administrativo, informando de la interposición de recurso Contencioso-Administrativo contra la resolución de esta Agencia de desestimación del recurso de reposición de fecha 15 de marzo de 2018 y solicitando el expediente que dio lugar a dicha resolución. Con fecha de 9 de septiembre de 2020 se recibe en esta Agencia, sentencia dictada por esa Audiencia en cuyo fallo se acuerda que la Agencia Española de Protección de Datos incoe actuaciones inspectoras a fin de llevar a cabo las actuaciones previas de investigación necesarias para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador frente a la entidad denunciada y en relación a los hechos denunciados. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Se solicitó al reclamado la información siguiente: (

1. i)Origen del domicilio del reclamado que obraban en sus sistemas y que ha motivado esta reclamación. (
2. ii)Causas que motivaron que los datos de domicilio del reclamante no se actualizaran en todos sus sistemas al comunicarlo a su entidad mediante escrito con fecha 26 de julio de 2017. (iii) Datos personales del reclamado obrantes en sus sistemas en la actualidad. ~ Con fecha de 23 de noviembre de 2020 se recibió escrito de alegaciones en el que se comprueba lo siguiente:  No aportan aclaración alguna sobre el origen de los datos obrantes en la entidad bancaria reclamada y que el reclamante había facilitado a la entidad BANSAFINA al solicitar un crédito la compra de un vehículo, manifestando que, una vez procedido a la supresión de los datos solicitada por el reclamante, no les consta dicho origen.  No aportan tampoco documento alguno que recoja el consentimiento del afectado para que los datos facilitados a BANSAFINA en el año 1995 fueran cedidos y tratados por la reclamada como se ha constatado que hizo. Además, se comprueba en los documentos contractuales que presenta el denunciado de fechas 3 y 26 de julio de 2017, que la casilla correspondiente al otorgamiento de cesión de datos a otras entidades del grupo se encuentra ya marcada en el impreso a firmar.  La reclamada manifiesta acerca de la rectificación de los datos, que la evidencia que aporta el reclamante (venta de valores con fecha de 21 de agosto de 2017), aún no se había cumplido un mes, según establece el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante, RGPD). No obstante, en el momento de la solicitud de rectificación, fecha de acuse de la reclamada de 28 de julio de 2017, la normativa vigente, Ley Orgánica 15/1999, establecía un plazo de atención a este derecho de 10 días, plazo ampliamente sobrepasado en el caso que nos ocupa. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Los hechos que motivan este expediente se concretan en la comunicación de los datos del reclamante por parte de BANSAFINA al BS, antes del año 1999, fecha en que finalizó la relación contractual con la primera entidad. BS los mantuvo desde el momento de la cesión hasta 2017, fecha en que acudió a BS para abrir algunas cuentas y tenían los datos facilitados por BANSAFINA. Tras varias solicitudes de rectificación y cancelación, BS en el mes de noviembre de 2017 canceló los datos que se obtuvieron de otra empresa del Grupo, BANSAFINA, desconociéndose el momento en que se produjo la comunicación, pero con anterioridad al año 2003, momento en que se cancelaron por BANSAFINA. III Por todo lo anterior, se concluye: - Los datos fueron cedidos desde la entidad BANSAFINA a la entidad reclamada, del mismo grupo empresarial, aunque no se tiene constancia de los términos del contrato de la operación con BANSAFINA en el año 1995, del posible consentimiento otorgado por el reclamante para esta cesión, ni si fue informado de ello. Por tanto, no se puede determinar si se procedió contrariamente a lo estipulado en los artículos 4, 6 y 11 de la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal, Ley vigente en el año en que se produjeron los hechos. - No fue atendido correctamente el derecho de cancelación de los datos del reclamante ejercido en 2003, incluso tras existir una reclamación ante esta Agencia, puesto que los datos permanecían en los sistemas del grupo en 2017. - No se atendió en tiempo y forma la solicitud de rectificación de sus datos en 2017, conforme a la Ley Orgánica 15/1999, según se comprueba en la documentación aportada por el reclamante. - Finalmente, todos los datos personales del reclamante fueron cancelados en la entidad reclamada, en el mes de noviembre de 2017. IV En cumplimiento de la Sentencia de la Audiencia Nacional, notificada a la Agencia en fecha 9 de septiembre de 2020, que ordena iniciar actuaciones previas de investigación con objeto de acreditar si se ha incumplido la normativa de protección de datos e iniciar procedimiento sancionador, la Subdirección General de Inspección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Datos inició estas actuaciones, con la finalidad indicada y conforme establece el artículo 67 de la LOPDGDD, que señala lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” Tras la realización de las actuaciones previas, se ha constatado que se produjo una comunicación de datos del reclamante de BANSAFINA a BS, pero con anterioridad a 2017. Aun en el caso de que se hiciese sin tener en cuenta los requisitos establecidos por la normativa de protección de datos aplicable en el momento de la cesión de los datos, estaría prescrita porque el período de caducidad de las infracciones más graves nunca ha excedido de los 3 años; por lo que esa comunicación, si incumplió la normativa de protección de datos (no se ha podido constatar al no disponer de la documentación de BANSAFINA), se encuentra ya prescrita. También se produjeron deficiencias en la atención de los derechos de rectificación y cancelación solicitados, pero que se atendieron en noviembre de 2017, contestando al reclamante. Asimismo, las infracciones cometidas se encuentran prescritas por el transcurso de más de dos años, ya que la LOPD de 1999, vigente en el momento de los hechos, establecía la infracción de impedir u obstaculizar el ejercicio de los derechos, como grave y con un periodo de prescripción de dos años. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 poner, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es