E-07327-2013

1/6 Expediente Nº: E/07327/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DEUTSCHE BANK, S.A.E., en virtud de denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 02/08/2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que DEUTSCHE BANK S.A.E., (en lo sucesivo DEUTSCHE BANK o la denunciada) ha revelado a terceros, sin su consentimiento, información personal de carácter financiero que ha sido utilizada en un procedimiento judicial. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que reproducimos: <<Con fecha de 2 de agosto de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: Que la entidad bancaria DEUTSCHE BANK SAE ha facilitado información en papel de su cuenta bancaria a terceros quienes la han utilizado en un proceso judicial contra él. Junto a su denuncia aporta los siguientes documentos:  Escrito de fecha 18/7/2013 dirigido al Juzgado de Primera Instancia nº 2 de Molina de Segura (Juicio Ordinario ****/2013) remitido por el abogado de A.A.A.. En dicho escrito se incluyen referencias entre otros los siguientes documentos, si bien solo se adjuntan los relativos al primero referenciado como documento 8: o Documento 8. Extracto de movimientos de la tarjeta de crédito número 4 **** **** ***4. o Documento 8-bis: Extracto de la cuenta común en Deutsche Bank, desde el 1/1/2013 hasta el 25/6/2013. o Documento 9: Volcado del extracto de cuenta común en Deutsche Bank, del 5/8/2009, a noviembre de 2011 hasta el 25/6/2013. o Documento 10: Volcado del extracto de cuenta común en Deutsche Bank, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 del 5/11/2011 al 25/6/2013.  Copia del CONTRATO MULTIPRODUCTO en el que figura D. A.A.A. como titular de la tarjeta 4*** **** **** ***4. Como domicilio para comunicaciones figura la calle (C/...............1), Murcia. ACTUACIONES PREVIAS 1. Con fecha de 7/7/2014 se solicita información a la entidad DEUTSCHE BANK SAE, quien remite escrito de respuesta en fecha de 8/8/2014 del que se desprende lo siguiente: 1.1. Que D. A.A.A. y Dª. A.A.A. suscribieron, a título de prestatarios, dos préstamos con garantía hipotecaria, sobre una misma vivienda por construir, aportando la entidad copia de las escrituras de ambos préstamos. 1.2. Que uno de las préstamos anteriores, así como la cuenta en la que se abonaban las cuotas de ambos préstamos tenían como domicilio a efectos de comunicaciones la calle (C/...............1), Murcia. 1.3. Que el propio D. A.A.A. facilitó a DEUTSCHE BANK SAE copia del Auto nº 269/2014 por el que se acordaba la extinción del condominio sobre la finca registral a la que se refería la mencionadas hipotecas adjudicándose la finca a D. A.A.A. y liberándose a Dª. A.A.A. de las obligaciones derivadas de dichas hipotecas. (La entidad adjunta copia de dicho Auto). 1.4. Señala la entidad que, a fecha de su escrito, D. A.A.A. y Dª. A.A.A. siguen siendo titulares de la cuenta bancaria número 00** **** ** *********0, en la que figura a efectos de notificaciones el domicilio de la calle (C/...............1), Murcia. 1.5. Añade la entidad que la tarjeta número 4*** **** **** ***4 corresponde a D. A.A.A. y que como domicilio para comunicaciones figura el de la calle (C/...............1), Murcia. 1.6. Finalmente señala la entidad que no le consta que se haya realizado ninguna comunicación o facilitado documentación o detalle desde el Banco relativos a D. A.A.A. a terceras personas ajenas. De hecho, señalan que en su día atendieron una solicitud de arbitraje que presentó el propio D. A.A.A. ante la Junta Arbitral de Consumo de la Región de Murcia, basada en una supuesta negativa de la oficina de la entidad a facilitar una relación histórica de movimientos de sus cuentas, cuando la entidad comprobó y así lo alegó a la Junta de Arbitraje, que dicha documentación había entregada al solicitante. (Se aportan copias del arbitraje).>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 II El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), regula el “Deber de secreto” y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El citado precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por los titulares de los datos. La Audiencia Nacional de manera reiterada viene considerando que la infracción del artículo 10 LOPD es una infracción de resultado, por lo que su comisión requiere que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (por todas SAN de 11 de junio de 2009) III La denuncia que examinamos versa sobre la supuesta revelación efectuada por DEUTSCHE BANK a terceras personas ajenas al denunciante y sin su consentimiento de información financiera de carácter personal. La información supuestamente revelada se concreta en los movimientos de la tarjeta número 4*** **** **** ***4 correspondiente al contrato de tarjeta número ***CCC.1del que el denunciante es titular. La presente denuncia trae causa de la documentación aportada al Juzgado de Primera Instancia número 2 de Molina de Segura (Murcia) por la representación procesal de A.A.A. acompañando al escrito de contestación a la demanda de Juicio Ordinario ****/2013. En particular al documento número 8, denominado “Extracto de la tarjeta de crédito contratada con cargo a la cuenta común en Deutsche Bank”, que incluía varias impresiones de pantalla de los movimientos de la tarjeta cuyo número y contrato ha sido citado anteriormente de las siguientes fechas: 01/03/2013, 05/04/2013 y 02/05/2013. El denunciante afirma que DEUTSCHE BANK fue quien facilitó a A.A.A. la referida documentación, revelando así información sobre los movimientos efectuados con la tarjeta de débito de la que es titular. No obstante, el denunciante no ha facilitado a este organismo ninguna prueba de la que pueda inferirse la intervención de la entidad denunciada en la revelación a terceros de la información financiera que le concierne. En respuesta al requerimiento informativo de la Inspección de Datos de la AEPD, el DEUTSCHE BANK comunicó que no le constaba que se hubiera hecho ninguna comunicación o facilitado documentación o detalle desde el Banco sobre los productos que pueda haber contratado o tenga contratados D. A.A.A. y de los que A.A.A. sea tercero ajeno. En definitiva, ni el denunciante ha facilitado a la AEPD evidencias o indicios razonables que constituyan una prueba de la vulneración del artículo 10 LOPD que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 atribuye al DEUTSCHE BANK ni las investigaciones llevadas a cabo por la Inspección de Datos han logrado avanzar en esa dirección. Así las cosas el único elemento en el que se apoya la presente denuncia es la manifestación del denunciante, insuficiente por sí sola para enervar el principio de presunción de inocencia. Llegados a este punto debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26/10/1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
2. a)La prueba indiciaria ha de partir de hechos plenamente probados.
3. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 De la exposición precedente se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Muy significativa es la SAN de 14/03/2013 (Rec.394/20111), en la que se examina la infracción del deber de secreto por la que la Agencia sancionó a la entidad recurrente, por revelar a terceros entre otros datos personales del denunciante su condición de moroso. La Sentencia estimó el recurso contencioso administrativo interpuesto contra la resolución del Director de la Agencia Española de Protección de Datos que sancionó a la recurrente por una infracción del artículo 10 LOPD, por cuanto el Tribunal consideró que la Agencia no había acreditado suficientemente que la entidad hubiera facilitado a terceros información sobre sus clientes. La precitada SAN comienza recordando que “El principio de presunción de inocencia recogido en el artículo 24.2 de la Constitución y 1371 de la LRJPAC, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (…) implica que la carga de la prueba de los hechos constitutivo de la infracción recaiga sobre la Administración…”. Añade a continuación que “nos encontramos en el ámbito administrativo sancionador y en materia de protección de datos, por lo que es a este específico ámbito al que debe circunscribirse nuestro análisis, siendo lo relevante a efectos del presente procedimiento dilucidar si ha quedado acreditado que la entidad recurrente ha facilitado a terceras personas datos personales de sus clientes y especialmente, sobre deudas de la entidad”. Seguidamente, y centrándose en la prueba de los hechos, esto es, en si efectivamente se facilitaron a terceros datos de los clientes, la Audiencia dice textualmente:“(…) lo relevante (como la propia resolución impugnada viene a reconocer) es su contenido, es decir, que en dichas llamadas se revelaran datos personales de sus clientes y especialmente sobre su situación de morosidad y eso es lo que corresponde acreditar en cada caso a la citada Agencia Española de Protección de Datos y de las anotaciones obrantes en el Bloc de notas tampoco se desprende dicha revelación”. La Sentencia concluye que “al no haberse acreditado la infracción del deber del secreto por la que ha sido sancionada la entidad demandante” se estima el recurso y se anula la sanción impuesta. (El subrayado es de la AEPD) Sin perjuicio de las consideraciones precedentes, parece aconsejable destacar también que, en el presente caso, a la total ausencia de pruebas de la comisión por la entidad financiera denunciada de una infracción del artículo 10 de la LOPD se suman determinadas circunstancias significativas que ponen de manifiesto que eran muchas las vías que pudieran explicar el origen de la información aportada al Juzgado de Primera Instancia número 2 de Molina de Segura incorporada como documento 8 del escrito de contestación a la demanda de Juicio Ordinario ****/2013. Entre estas circunstancias destacamos que el denunciante y la persona demandada en el procedimiento civil al que se llevaron los documentos que han desembocado en esta denuncia eran cotitulares ( y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 en fecha 01/08/2014 aún continuaban siéndolo) de una cuenta vista en la misma entidad (Deutsche Bank) y en la misma oficina en la que el denunciante formalizó el contrato de la tarjeta cuyo movimientos se han comunicado al Juzgado. Se advierte también que tanto la cuenta a la vista de titularidad conjunta como el contrato de tarjeta tienen designado el mismo domicilio a efectos de notificaciones, la calle (C/...............1) Murcia. A la luz de lo expuesto y habida cuenta de que no obran en poder de este organismo pruebas de las que se infiera la comisión por DEUTSCHE BANK de una infracción del artículo 10 de la LOPD, en aplicación de los principios que rigen en el procedimiento sancionador debe acordarse el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a DEUTSCHE BANK S.A.E. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es