E-07688-2012

1/4 Expediente Nº: E/07688/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. en virtud de denuncia presentada por D. D.D.D. y basándose en los siguientes, HECHOS PRIMERO: Con fecha de 7 de noviembre de 2012 tiene entrada en esta Agencia un escrito de D. D.D.D. ( en adelante el denunciante) en el que declara lo siguiente: 1. Que tiene su domicilio fiscal fuera de España por lo que solicitó a BBVA el cambio de dicho domicilio. 2. Que BBVA le facilitó una serie de formularios a cumplimentar con información previamente consignada en los formularios pertenecientes a otros clientes ajenos a él. 3. Como prueba de lo anterior aporta: 3.1. Escrito de fecha 18/10/2012 remitido por BBVA a su persona en el que se adjunta un formulario con los datos impresos relativos a C.C.C. con domicilio en A.A.A.. 3.2. Escrito de fecha 17/10/2012 remitido por BBVA a su persona en el que se adjunta una carta con los datos impresos relativos a E.E.E. con DNI/Pasaporte núm. F.F.F.. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha de 12/6/2013 se solicita información a la entidad BBVA quien remite respuesta recibida en fecha de 11/7/2013 en el que manifiestan que la información de otros clientes remitida a D. D.D.D. ha sido como consecuencia de una incidencia en el proceso de impresión y ensobrado calificando dicha incidencia como “fuerza mayor”, ya que alegan que todo el proceso de impresión y ensobrado de los formularios y escritos se realiza de forma automática sin intervención humana al objeto de preservar la confidencialidad de los clientes. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD, bajo la rúbrica “Deber de secreto” establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo la obligación “de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Esta obligación es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este principio de protección de datos es esencial en las sociedades actuales, cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales como la intimidad o el derecho a la protección de los datos que proclama el artículo 18.4 de la Constitución Española. La LOPD tipifica como infracción grave en el artículo 44.3.
2. d)la infracción del deber de secreto. III En el caso que nos ocupa el denunciante manifiesta que ha tenido acceso a datos de dos terceros, con motivo del envío de documentación postal por parte de BBVA, puesto que en dicha documentación se incluía el nombre, apellidos y dirección de C.C.C., y el nombre, apellidos y número de pasaporte de E.E.E.. En relación con hechos similares se ha pronunciado la Audiencia Nacional en reiteradas ocasiones, entre otras, en sus Sentencias de 7 y 28 de mayo de 2009 y 11 de junio de 2009, señalando lo siguiente: “La infracción tipificada en el art. 44.3.
3. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el numero de la cuenta corriente- se hayan puesto de manifiesto a tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad –que es una infracción de actividadpero no ante la infracción que se imputa que exige la puesta en conocimiento de un tercero de los datos personales”. Asimismo, en un supuesto análogo al que nos ocupa, relativo a la supuesta vulneración del deber de secreto, la Audiencia Nacional, mediante Sentencia de 14/12/2006, Rca. 1363/2005, afirma que: “La presente resolución…razona, en esencia, que la expedientada, al remitir al domicilio de un cliente suyo un recibo de otro cliente en el que consta los nombres y apellidos y NIF, en cuanto titular del suministro, así como la dirección del suministro en la calle…ha vulnerado su deber de secreto impuesto por el art.10 de la LOPD (…). “…no se puede entender como una infracción del deber de secreto, sino simplemente de la remisión equivocada a una dirección de un contrato de suministro de energía eléctrica en el que existe un único datos personal del Sr.***NOMBRE.1, su NIF, pero ello no tiene relevancia en el ámbito administrativo sancionador. Incluso ese error en el envío de los datos no puede incluirse en el término “revelación” del art. 3.
4. i)de la LO 15/1999, más cuando son datos que pueden conocerse por cualquiera en fuentes de acceso al público (listado telefónico), y ello por el carácter restrictivo del derecho administrativo sancionador.” “En primer lugar, se ha de recordar que, entre los hechos que se hacían constar en el acuerdo de iniciación del procedimiento aparecían los siguientes como num. 4 . "Electra de Riesgo Distribución SL remitió al domicilio de la DIRECCION000 NUM000 , NUM002 , NUM001 de Santander y a nombre de D. ***NOMBRE.2 el contrato de suministro de energía eléctrica expedido a nombre de D. ***NOMBRE.1 en el que constan, entre otros, los datos personales de nombre, apellido y nif de D. ***NOMBRE.1 como titular del suministro y dirección del suministro. Dicho contrato fue aportado por D. ***NOMBRE.2". “Pues bien, la aplicación de la citada Doctrina (de la necesaria culpabilidad para el ejercicio de la potestad sancionadora) al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992,en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo”. En el presente caso, en la documentación a cumplimentar por el denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 que BBVA le remitía, se incluía nombre, apellidos dirección y número de pasaporte de dos terceros, por lo que se desprende que el denunciante no tuvo acceso a número de cuenta o extractos de movimientos de estos. Por lo tanto, tal y como se expuso anteriormente, no nos encontramos ante un incumplimiento del deber de secreto, sino como expone la Audiencia Nacional, una remisión equivocada que no tiene relevancia sancionadora. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución ARGENTARIA, S.A.. y a D. D.D.D.. a BANCO BILBAO VIZCAYA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es