E-08210-2021

1/9  Expediente N.º: E/08210/2021 IMI Reference: A56ID 162649- Case Register 353519 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la autoridad de protección de datos de Países Bajos. La reclamación se dirige contra BANCO DE SABADELL, S.A. con NIF A08000143 (en adelante, BANCO DE SABADELL). Los motivos en que basa la reclamación son los siguientes: Al ejercitar el derecho de acceso en enero de 2019 el Banco de Sabadell no facilitó en la respuesta el detalle de las transacciones realizadas, aunque sí los datos que figuran en el fichero de clientes. La parte reclamante aporta: - Copia del documento por el que solicitó el ejercicio del derecho de acceso ante BANCO DE SABADELL, S.A., de fecha 29 de enero de 2019. - Intercambio de correos electrónicos entre la dirección de la parte reclamante ***EMAIL.1y la dirección ejercicioderechosprotecdatos@bancsabadell.com, en los que la parte reclamante solicita el ejercicio del derecho de acceso ante BANCO DE SABADELL y este último le confirma el envío de un burofax con la información solicitada, los días 13 de febrero y 21 de marzo de 2019. - Copia del documento proporcionado por BANCO DE SABADELL con la información solicitada por la parte reclamante, de fecha 13 de febrero de 2019. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 7 de febrero de 2020 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) ese mismo día. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 como autoridad de control principal, dado que BANCO DE SABADELL tiene su sede social y establecimiento principal] en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Países Bajos, las autoridades de Italia, Francia y Portugal. Todas estas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. Por su parte, la autoridad de control de Polonia también se declaró interesada, dado que el banco opera en su territorio. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Según informan los representantes del BANCO DE SABADELL, la parte reclamante ejercitó su derecho de acceso a sus datos personales con fecha 29 de enero de 2019, sin especificar ningún dato, tratamiento o finalidad que desease conocer específicamente. Se le informó de los contratos suscritos con la entidad, entre ellos el contrato de Banca a Distancia, que le permite visualizar y comprobar en cualquier momento los movimientos de sus cuentas, posiciones y demás operativa. En la respuesta facilitada, el BANCO DE SABADELL quedó a su disposición para efectuar aclaraciones, ampliaciones, limitaciones o cualquier otra designación específica de sus datos personales, finalidades y tratamientos de los que desee tener información, por lo que de haberlo solicitado específicamente se le habría facilitado a través del mismo medio. Que, siendo cliente y titular de un contrato de Banco a Distancia, la parte reclamante tenía disponible a través de un medio a distancia seguro y de fácil acceso información relativa a los movimientos de la totalidad de las posiciones mantenidas con la entidad, incluyendo los datos de las transacciones realizadas. Con la disponibilidad existente a través de los medios de Banca a distancia, y la contestación al ejercicio del derecho realizado documentalmente dieron por respondida la petición de la parte reclamante, que no especificó que requería los datos de las transacciones realizadas y que serán facilitadas si lo requiere específicamente. En relación al motivo por el que no se ha facilitado a la parte reclamante la totalidad de la información, los representantes del BANCO DE SABADELL manifiestan que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 1) La parte reclamante ejercitó un derecho de acceso a sus datos personales con fecha 29 de enero de 2019, utilizando para ello determinados párrafos del literal recogido en el artículo 15 del Reglamento Europeo 679/2016. Con motivo de la gran cantidad de datos que el responsable del tratamiento, como entidad financiera, trata de sus clientes y a la propia información en materia de Protección de Datos que, conforme con el artículo 13 del RGPD, el BANCO DE SABADELL proporciona, tanto en su página web como en la documentación contractual, a los interesados sobre los numerosos tratamientos que lleva a cabo, les llevó a interpretar, que la respuesta dada cubría el ejercicio del derecho de acceso de la parte reclamante al entender que ya conocía la información general sobre el tratamiento de datos que lleva a cabo la entidad y que su interés se centraba en conocer exactamente qué datos personales son utilizados por el banco. (En la actualidad consideran que esta interpretación fue errónea). La propia solicitud de la parte reclamante, poniendo de manifiesto cierta familiaridad con el RPGD les hizo confiar en que facilitando los datos personales objeto del tratamiento atendían la solicitud de manera adecuada, ello sin pretender cerrar la posibilidad de poder ofrecer mayor detalle sobre cualquier tratamiento concreto que pudiera resultar de interés. La experiencia adquirida por la entidad en la atención del ejercicio de derechos en materia de protección de datos así como el cambio de cultura que tanto interesados como entidades han experimentado lleva a realizar una revisión continua de su actuación en la materia y, con el fin de evitar que debido a la gran cantidad de datos que tratan, el ejercicio del derecho de acceso de los interesados se pueda ver desvirtuado por un ofrecimiento exceso de información, ofrecen al propio interesado la posibilidad de que se vuelva a poner en contacto con la entidad si la expectativa de información no ha quedado cumplida. 2) Una vez entendido que la respuesta al ejercicio del derecho de acceso no ha sido acertada, han procedido a facilitar toda la información solicitada por la parte reclamante, quedando a su disposición para ofrecer mayor detalle sobre cualquier cuestión que considere oportuna. Esta información habría sido igualmente proporcionada si hubiera sido solicitada directamente a la entidad sin presentar reclamación ante las Autoridades de Protección de Datos. Con fecha 2 de septiembre de 2020 desde el BANCO DE SABADELL remitieron un correo electrónico informándole a la parte reclamante de que se había enviado una carta certificada con la respuesta al ejercicio de derecho de acceso. Los representantes de la entidad aportan documentación con el cumplimiento del ejercicio del derecho de acceso remitido a la parte reclamante y el justificante del envío de fecha 1 de septiembre de 2020. CUARTO: Con fecha 23 de julio de 2021, la Directora de la AEPD declaró la caducidad de las actuaciones, al haber transcurrido más de doce meses desde su inicio, y se abrieron nuevas actuaciones de investigación con el número E/08210/2021, y se incorporaron a estas nuevas actuaciones la documentación obrante en el E/02669/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Esta resolución, que se notificó al BANCO DE SABADELL conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 26 de julio de 2021, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 16 de agosto de 2021, la Directora de la AEPD adoptó un proyecto de decisión de archivo de las actuaciones. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 20 de agosto de 2021 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, la autoridad de control de Francia presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. SEXTO: Con fecha 20 de julio de 2022, la Directora de la AEPD adoptó un proyecto revisado de decisión de archivo de las actuaciones. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 21 de julio de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto revisado de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en el artículo 60.8 del RGPD y según lo dispuesto en el artículo 47 y 48 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el BANCO DE SABADELL realiza la recogida y conservación de, entre otros, los siguientes datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 personales de personas físicas: nombre y apellido y datos financieros, entre otros tratamientos. El BANCO DE SABADELL realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que el BANCO DE SABADELL está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, el BANCO DE SABADELL tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 15 del RGPD y el artículo 13 de la LOPDGDD regula el derecho de acceso de los interesados a sus datos personales. III Derecho de acceso El Artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:

1. a)los fines del tratamiento;
2. b)las categorías de datos personales de que se trate;
3. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
4. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
5. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
6. f)el derecho a presentar una reclamación ante una autoridad de control;
7. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
8. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. Al respecto, el artículo 13 “Derecho de acceso” de la LOPDGDD dispone que: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas”. En el presente caso, una vez analizadas las razones expuestas por el BANCO DE SABADELL, que obran en el expediente, se ha constatado que el 13/02/2019 contestó el banco a la parte reclamante proporcionándole los datos que figuraban en el fichero de clientes, si bien no se facilitó en tal respuesta el detalle de las transacciones realizadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 No obstante, la parte reclamante ejercitó un derecho de acceso a sus datos personales con fecha 29 de enero de 2019, genérico, sin especificar ningún dato, tratamiento o finalidad que desease conocer específicamente. Y en su respuesta, el BANCO DE SABADELL le informó de los contratos suscritos con esta entidad, entre ellos el contrato de Banca a Distancia, que le permite visualizar y comprobar en cualquier momento los movimientos de sus cuentas, posiciones y demás operativa de esta entidad. En cualquier caso, siendo cliente y titular de un contrato de Banco a Distancia, la parte reclamante tenía disponible a través de un medio a distancia seguro y de fácil acceso información relativa a los movimientos de la totalidad de las posiciones mantenidas con el BANCO DE SABADELL, incluyendo los datos de las transacciones realizadas. A mayor abundamiento, con motivo de la gran cantidad de datos que el responsable del tratamiento, como entidad financiera, trata de sus clientes y a la propia información en materia de Protección de Datos que el BANCO DE SABADELL proporciona, tanto en su página web como en la documentación contractual, a los interesados sobre los numerosos tratamientos que lleva a cabo, le llevó a interpretar, hoy ven que de manera inadecuada, que la respuesta dada en 2019 cubría el ejercicio del derecho de acceso de la parte reclamante al entender que el interesado ya conocía la información general sobre el tratamiento de datos que lleva a cabo la entidad y que su interés se centraba en conocer exactamente qué datos personales son utilizados por el banco. La propia solicitud de la parte reclamante, poniendo de manifiesto cierta familiaridad con el RPGD les hizo confiar en que facilitando los datos personales objeto del tratamiento atendían la solicitud de manera adecuada, ello sin pretender cerrar la posibilidad de poder ofrecer mayor detalle sobre cualquier tratamiento concreto que pudiera resultar de interés. La experiencia adquirida durante estos años por el BANCO DE SABADELL en la atención del ejercicio de derechos en materia de protección de datos así como el cambio de cultura que tanto interesados como entidades han experimentado, les ha llevado a realizar una revisión continua de su actuación en la materia y, por ello, con el fin de evitar que, debido a la gran cantidad de datos que tratan, el ejercicio del derecho de acceso de los interesados se pueda ver, en cierto modo, desvirtuado por un ofrecimiento exceso de información, ofrecen al propio interesado la nueva posibilidad de que se vuelva a poner en contacto con el banco si la expectativa de información no ha quedado cumplida, para mantener un canal de comunicación abierto. En cualquier caso, una vez entendido que la respuesta al ejercicio del derecho de acceso no había satisfecho a la parte reclamante, el BANCO DE SABADELL facilitó, en fecha 1 de septiembre de 2020, una nueva respuesta al ejercicio de derechos de la parte reclamante, en el que se da respuesta a todos los aspectos recogidos en el art. 15 del RGPD, quedando a su disposición para ofrecer mayor detalle sobre cualquier cuestión que considerase oportuna. IV Tipificación de una posible infracción del artículo 15 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 La citada infracción del artículo 15 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
9. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
10. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
11. k)de esta ley orgánica. (…)” En el presente caso, el 1 de septiembre de 2020 el BANCO DE SABADELL habría atendido debidamente el derecho de acceso solicitado por la parte reclamante. Por tanto, en el caso que hubiera infracción del artículo 15 del RGPD, tal infracción estaría prescrita, de acuerdo con lo expuesto en el citado artículo 74 de la LOPDGDD. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO DE SABADELL, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es