E-07695-2013

1/7 Expediente Nº: E/07695/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANKIA, S.A., en virtud de denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 02/10/2013, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que BANKIA, S.A., (en lo sucesivo BANKIA o la denunciada), a través del Departamento de recuperaciones y mediante un correo electrónico enviado por B.B.B., se ha puesto en contacto sin su consentimiento con la Letrada que lleva la dirección técnica de su divorcio, doña C.C.C., y le ha revelado información de carácter personal: su número de DNI y la situación de impago de las cuotas del préstamo hipotecario que tiene concertado con la entidad financiera. El denunciante aporta copia del “correo” de fecha 28/06/2013 enviado a la dirección electrónica de su Letrada (secretaría@............) en cuyo texto se indica que en mayo de 2013 la entidad financiera denunciada planteó una operación de refinanciación/adecuación hipotecaria para adaptarse a las necesidades económicas de sus clientes y añade que el denunciante “ se negó a firmar esa operación estando en la Notaría, y a partir de ahí ya no hemos podido localizarle” El correo electrónico termina solicitando a la Letrada que hable con el denunciante sobre esta cuestión. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se efectuaron actuaciones de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se reflejan en el Informe de Actuaciones Previas de Investigación que se reproduce: <ANTECEDENTES Con fecha de 2 de octubre de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que es cliente de BANKIA y en enero de 2006 contrató un préstamo hipotecario con esa entidad al 50 por ciento con su esposa, encontrándose actualmente en proceso de divorcio. Indica que el referido préstamo se encuentra con varios recibos impagados (a fecha 9 de septiembre el impago asciende a 4.238,50 euros). El pasado mes de junio, D. B.B.B. del “DEPARTAMENTO RECUPERACIONES DT MADRID SUR – BANKIA”, tras varias llamadas telefónicas a la abogada que lleva su divorcio (Dª C.C.C. le remite el siguiente email: “DE: ****[..........@BANKIA.COM] C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 ENVIADO EL: VIERNES, 28 DE JUNIO DE 2013 13:57 PARA: SECRETARIA@****.......... CC: ************** ASUNTO: OP ******* A.A.A. Y D.D.D. BUENOS DÍAS, ME COMUNICO VÍA EMAIL, YA QUE ES MUY DIFÍCIL QUE SE PONGA AL TELÉFONO. EN MAYO DE ESTE AÑO, LA OFICINA NÚM. **** DIRECCIÓN (C/.............1) MADRID, PLANTEÓ UNA OPERACIÓN DE REFINANCIACIÓN/ADECUACIÓN HIPOTECARIA PARA QUE LOS CLIENTES PUDIERAN PAGAR CORRECTAMENTE LOS RECIBOS Y ADAPTARNOS A LAS NECESIDADES ECONÓMICAS DE LOS CLIENTES. A.A.A. CON DNI ***DNI.1, QUE CREO QUE ES SU CLIENTE, SE NEGÓ A FIRMAR ESA OPERACIÓN ESTANDO EN LA NOTARÍA, Y A PARTIR DE AHÍ YA NO HEMOS PODIDO LOCALIZARLE. CREO QUE ESTÁN EN UN PROCESO DE SEPARACIÓN/DIVORCIO COMPLICADO. D.D.D. CON DNI ***DNI.2, ME CONSTA QUE HACE FRENTE AL PAGO DEL 50% DE LA CUOTA MENSUAL CORRECTAMENTE. AL NO PODER CONTACTAR CON A.A.A., LE PEDIRÍA QUE PUDIERA HABLAR CON ÉL SOBRE ESTA SITUACIÓN UN SALUDO PD_ TELÉFONO DE LA OFICINA **** TELF. ***TEL.1 (***NOMBRE.1 / ***NOMBRE.2) B.B.B.DPTO. RECUPERACIONES DT MADRID SUR BANKIA DESCRIPCIÓN: DESCRIPCIÓN: DESCRIPCIÓN: CID:.....@..... (: ***TEL.2 E-MAIL: ****@BANKIA.COM WWW.BANKIA.COM” Indica que no conoce al autor del email, el cual hace público a terceros su número de DNI y el impago de su préstamo hipotecario sin su consentimiento poniéndose en contacto con su abogada sin su conocimiento. ACTUACIONES PREVIAS Solicitada información y documentación a la entidad BANKIA, SA sus representantes han manifestado lo siguiente sobre el motivo por el cual se remitió correo electrónico: “A principios del año 2013 se planteó una operación de refinanciación del préstamo con garantía hipotecaria […] con los cotitulares del mismo, la Sra. D.D.D. y el Sr. A.A.A., tal y como se acredita con la solicitud firmada por ambos cotitulares, […] Según nos informa la oficina gestora de este cliente, una vez concedida la refinanciación se citó a los titulares para su firma en la notaría correspondiente y el Sr. A.A.A. no compareció a la firma el día previsto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 A partir de ese momento, se intentó realizar gestiones con el cotitular con la única finalidad de formalizar la operación de refinanciación y evitar, en caso de no formalizarse, que se tuviera que instar el correspondiente procedimiento judicial ejecutivo. Tal y como se indica en el correo electrónico que Uds. adjuntan, el remitente pertenecía al Departamento de Recuperaciones de La Dirección Territorial Madrid Sur, por lo que en el ejercicio de sus funciones profesionales, remitió el correo electrónico dentro de las gestiones que estaba realizando para intentar contactar con el Sr. A.A.A..” Como documentación acreditativa del consentimiento del afectado para el envío de dicha comunicación aportan lo siguiente:  copia del burofax de fecha 29 de abril de 2013, enviado por la Sra. C.C.C. abogada del Sr. A.A.A., a la Sra. D.D.D., cotitular del préstamo que estaba siendo objeto de refinanciación. Indican que este burofax fue entregado por la Sra. D.D.D. al empleado de BANKIA que posteriormente remitió el correo electrónico objeto de esta petición de información y que en dicho burofax consta la dirección de correo electrónico secretaria@............... junto con el resto de datos de contacto del despacho de la Sra. E.E.E..  Escritura del préstamo hipotecario de fecha 04/01/2006 y copia de la solicitud de refinanciación del mismo de fecha 06/03/2013 suscrito en todas sus hojas por el denunciante y su esposa. Los representantes de BANKIA manifiestan que : “Los datos que constan en el correo electrónico enviado por el empleado de Bankia eran, en todo caso, datos conocidos por la abogada del Sr, A.A.A., pues como ella misma indica en el burofax (anterior al envío del correo electrónico), el Sr. A.A.A. había designado a ese despacho para la tramitación del divorcio de la pareja.” Se verifica que en el burofax la abogada del denunciante indica que éste no puede hacerse cargo del pago del préstamo hipotecario.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El denunciante considera que son dos las conductas de BANKIA que vulneran su derecho a la protección de datos de carácter personal. Por una parte, que la denunciada se puso en contacto con su Letrada, C.C.C., sin haber solicitado su consentimiento y, por otra, que BANKIA le reveló información personal de carácter financiero –como es la situación de impago del préstamo hipotecario concertado en su día conjuntamente con la Sra. D.D.D., su ex cónyuge- y su DNI. A) La LOPD dispone en el artículo 6.1: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por lo que atañe a la primera de las conductas denunciadas debemos indicar que la Audiencia Nacional se ha pronunciado sobre esta cuestión en diversas Sentencias, en las que ha entendido que el consentimiento inicial otorgado por el afectado para el tratamiento de sus datos de carácter personal se proyecta también sobre datos personales del mismo tipo que los que facilitó siempre que este tratamiento sea necesario para el desenvolvimiento o cumplimiento del contrato. Ese ha sido el criterio seguido por la Audiencia en su SAN de 14/05/2009 (Rec. 181/2007) en la que estimó el recurso contencioso-administrativo interpuesto contra una resolución de la AEPD que sancionaba a la recurrente por una presunta infracción del artículo 6.1 de la LOPD por cuanto, en virtud de un encargo de tratamiento con la entidad financiera acreedora y para el cobro de la deuda, habida cuenta de que el afectado había cambiado de domicilio, se puso en contacto telefónico con una tía del afectado que le facilitó un número de teléfono y realizó una llamada al número en cuestión para requerir el pago de la deuda. La resolución administrativa impugnada consideró que el tratamiento de ese nuevo dato no se encontraba amparado en el contrato suscrito con la entidad acreedora ni procedía de una fuente de acceso público por lo que no contaba con el consentimiento del titular. Sin embargo, la Audiencia Nacional estimó el recurso contencioso-administrativo y dejó sin efecto la resolución sancionadora argumentando lo siguiente: “al haber prestado el denunciante su consentimiento para el tratamiento de determinados datos personales como su nombre y apellidos, domicilio y número de teléfono, en el contexto de una relación contractual, ese consentimiento inicial continúa proyectándose mientras permanece la relación contractual respecto de datos personales del mismo tipo que los que fueron proporcionados y autorizado su uso, siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato ningún reproche puede hacerse por tanto al tratamiento de dichos datos. (El subrayado es de la Agencia) Añade que “incluso la LOPD prescinde de la necesidad del consentimiento al establecer como excepción al mismo - en el apartado 2 del artículo 6 - que no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o cumplimiento”. Y concluye que “la entidad que actuaba como encargada del tratamiento realiza su actividad para el cumplimiento del contrato suscrito entre el denunciante y la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 que le efectuó el encargo y que dicho contrato exige para su cumplimiento el tratamiento de los datos personales del domicilio del denunciante para poder comunicar con él cuando deja de cumplir sus obligaciones, siendo indiferente a estos efectos que el concreto dato del domicilio haya cambiado pues su tratamiento está amparado en el consentimiento inicial o, en todo caso, en la excepción contenida en el artículo 6.2 LOPD” (El subrayado es de la Agencia) La Audiencia Nacional ha reiterado este criterio en Sentencias posteriores, como las de 21/01/2010 y 22/07/2010. En ellas se hace referencia a la obtención por parte de un encargado de tratamiento, contratado por un determinado acreedor, de datos adicionales que permiten conocer el domicilio o número de teléfono de un deudor determinado, habiéndose obtenido el nuevo dato del deudor de fuentes tales como ficheros que tienen el carácter de fuente accesible al público, detectives privados (SAN de 21 de enero de 2010, Rec 694/2008) o incluso la solicitud de información a familiares del deudor (SAN de 14 de mayo de 2009, Rec. 181/2007 Trasladando las reflexiones precedentes al supuesto que nos ocupa se observa que también aquí el tratamiento de los datos del denunciante continuaba siendo necesario para la ejecución del contrato que suscribió con BANKIA, pues existía una deuda pendiente de pago (el préstamo con garantía hipotecaria que había concertado conjuntamente con su cónyuge) y la entidad no había logrado contactar con el denunciante. A lo anterior hay que añadir que, según la información facilitada por BANKIA a la AEPD en el curso de las actuaciones de investigación practicadas, fue la ex cónyuge del denunciante, Sra. D.D.D., quien le dio traslado de un burofax que la Letrada del denunciante le había remitido el 30/04/2013 (aporta copia al expediente) en el que consta la dirección electrónica a la que un empleado de la denunciada envió el correo electrónico sobre el que versa la denuncia. El mensaje fue remitido por el personal del Departamento de Recuperaciones de la entidad, Dirección Técnica Territorial Madrid Sur, en el ejercicio de funciones profesionales, enmarcado en los intentos que venía efectuando para contactar con el denunciante. En consecuencia, a tenor de las razonamientos precedentes, no se aprecia en la conducta de BANKIA consistente en haber contactado con la Letrada del denunciante sin su consentimiento con el objeto de poder acceder a él vulneración del principio del consentimiento recogido en el artículo 6 de la LOPD. B) El artículo 10 de la LOPD regula el “Deber de secreto” y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Este precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por los titulares de los datos. La Audiencia Nacional de manera reiterada viene considerando que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (por todas SAN de 11/06/2009) En el presente caso la Letrada del denunciante –a quien presuntamente BANKIA habría revelado información de carácter personal de él- era conocedora de su DNI y de su situación financiera antes de que BANKIA le enviara 28/06/2013 el mensaje electrónico que ha dado origen a la denuncia que nos ocupa. Este mail es de 28/06/2013 en tanto que casi dos meses antes la Letrada del denunciante se había dirigido a su ex cónyuge, Sra. D.D.D., a través de un burofax de fecha 30/04/2013 en el que le informaba que su cliente no podría atender los gastos de la vivienda, incluido el pago del préstamo hipotecario, desde el 31/05/2013, fecha en la que estaba previsto que perdiera su empleo. De tal manera que BANKIA no pudo revelar a la Letrada una información que ella ya conocía directamente de su cliente, que es quien se la había proporcionado en el marco de la relación profesional que les une. Razón por lo cual la conducta que se denuncia no constituye una infracción del artículo 10 LOPD ni es subsumible en el tipo sancionador del artículo 44.3.
2. d)LOPD. Se concluye de las consideraciones precedentes que no se aprecia en los hechos que se someten a nuestra consideración infracción de la normativa de protección de datos, debiendo acordar el archivo de la presente denuncia. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BANKIA, S.A., y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es