1/4 Expediente Nº: E/07993/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAIXA D’ESTALVIS DEL PENEDÉS (en la actualidad BANCO MARE NOSTRUM, S.A., en virtud de denuncia presentada por Doña D.D.D., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de noviembre de 2012, tuvo entrada en esta Agencia un escrito remitido por Don C.C.C., en representación de Doña D.D.D., en el que declara que la denunciante, en los últimos días, viene recibiendo correos electrónicos de la entidad Caixa Penedes de avisos de transferencias referentes a cuentas corrientes de la Candidatura de Unidad Popular de Vilanova i la Geltrú y la Candidatura de Unidad Popular de Vilafranca del Penedés. Indica que ni pertenece a las entidades referidas, ni es ordenante de las transferencias ni beneficiaría o receptora de las mismas. Manifiesta que la denunciante está habilitada como firmante de cuentas de entidades de Banyoles en las cuentas corrientes de dichas entidades en la Caixa Penedes pero no hay ninguna explicación que relacione los datos personales de la Sra. D.D.D. con la CUP de Vilanova i la Geltrú y la CUP de Vilafranca del Penedes, por lo cual resulta evidente que además de los datos de dichas transferencias la Caixa Penedes hace un uso descontrolado de los datos de los titulares de otras cuentas, como en este caso los datos de la Sra. D.D.D. que inexplicablemente aparecen en una comunicación de la Caixa Penedes referida a terceros. La Sra. D.D.D. ha puesto estos hechos en conocimiento del teléfono de atención al cliente de Caixa Penedes y la entidad ha omitido hacer ningún tipo de actuación al respecto. Por otro lado, en fecha 8 de noviembre del 2012 la denunciante recibió una llamada de una persona que se identificó como J.J.J. de la CUP de Vilanova i la Geltrú y le dijo lo siguiente: "Te llamo porque me han hecho un cargo de 800 € y pico en la cuenta de la CUP y he ido a la Caixa Penedes para que me lo aclararan y me han dicho que este cargo lo han hecho de Avinyonet del Penedés y me han dado tu teléfono y me han dicho que te llamara a ti." Por todo ello, denuncia que la entidad no tiene ningún tipo de control sobre qué datos pertenecen a los titulares de las cuentas corrientes y las operaciones sino que además facilita los teléfonos particulares de los clientes a otros clientes sin justificación ni autorización. Aporta copia de los correos electrónicos de aviso de dos transferencias emitidos por noreply@caixapenedes.com a B.B.B., constando como ordenante de ambas CANDIDATURA D UNITAT y los beneficiarios son CUP ALTERNATIVA D ESQUERRES y AUTOCARS DOTOR, SL. Las transferencias corresponden a diferentes cuentas bancarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha solicitado información y documentación a CAIXA D’ESTALVIS DEL PENEDÉS, que ha segregado su negocio a favor de BANCO MARE NOSTRUM, S.A. (en adelante BMN), y de la contestación recibida se desprende lo siguiente: El día 01/06/2011, a las 15:18:15 horas el usuario F.F.F. de banca electrónica, correspondiente al cliente A.A.A., inició sesión utilizando su usuario y clave, y modificó los datos de contacto de Candidatura de Unitat Popular (en adelante la CUP) de CIF *********. Para ello utilizó las claves de seguridad y firma necesarias para poder modificar datos. Los datos introducidos fueron la dirección de correo B.B.B., teléfono fijo H.H.H. y móvil I.I.I., quedando vinculados dichos datos para la recepción de las notificaciones preceptivas, motivo por el cual se recibieron en dicha dirección los avisos de transferencia relativos a la cuenta de la CUP. A.A.A. figuraba como usuario especial supervisor del contrato del cual es titular CUP. BMN ha manifestado que ha desvinculado dichos datos al manifestar la afectada su no vinculación con la CUP en el marco de su denuncia ante la Agencia Española de Protección de Datos. A.A.A. consta desde 31/01/2011 como administradora de un contrato de cuenta corriente titularidad de la mencionada CUP, habiendo cancelado sus relaciones con la entidad el 08/09/2012. BMN manifiesta que no se ha incurrido en ningún tipo de error informático o técnico y no se han facilitado datos personales de la afectada a terceros, no habiéndose facilitado el teléfono a ninguna tercera persona, indicando que, basándose en las evidencias, cabría pensar que al haberse realizado una llamada de teléfono tras la modificación de los datos de contacto de CUP, el mencionado número ya pudiera estar en conocimiento de la persona que emitió la llamada. Por otro lado, por parte de esta Inspección de Datos se ha verificado que el nombre de la denunciante “D.D.D.” aparece en la lista electoral de la CUP de Banyoles de las elecciones municipales de 2011, figurando en el primer lugar “ F.F.F”, como candidata a ***CARGO.1, según se ha podido comprobar de la información publicada en el sitio web banyoles.cup.cat. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 II En orden a precisar el alcance antijurídico de los hechos denunciados: el tratamiento de los datos de la denunciada sin su consentimiento, procede analizar, en primer lugar, el principio de consentimiento consagrado en el artículo 6 de la LOPD, cuyo apartado 1 dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. A este respecto, debe señalarse que el artículo 3.
- c)de la LOPD define el tratamiento de datos como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Tras la realización de las actuaciones previas de investigación se ha tenido conocimiento de que la Candidatura de Unitat Popular es titular de un contrato firmado con BMN. El perfil de supervisor de ese contrato, o usuario especial, correspondía a la Sra. F.F.F., quien usando su clave de usuario y contraseña modificó los datos de contacto de la Candidatura. Para hacer el cambio utilizó las claves de seguridad y firma necesarias para poder modificar los datos. En la dirección de correo electrónico incluyó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 los datos el de la denunciante, a la que se enviaron los correos con los avisos de transferencia relativos a la cuenta de la Candidatura de Unitat Popular. La entidad BMN trató los datos de la denunciada, como persona de contacto en la cuenta abierta por la Candidatura de Unitat Popular, cancelando tales datos de forma inmediata al tener conocimiento de su oposición a dicho tratamiento. Esto es, BMN mantenía una relación negocial con la Candidatura mencionada y con las personas que contacto que le indicaron, en el momento de abrir la cuenta, y que podían modificarse usando claves y contraseñas. Por otro lado, tanto la Sra. F.F.F. como la denunciada se presentaron en la lista electoral de la Candidatura de Unitat Popular en Banyoles. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BANCO MARE NOSTRUM, S.A., y a Doña D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es