1/9 Expediente N.º: EXP202500614 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 18 de noviembre de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció los derechos de rectificación y supresión frente al BANCO SANTANDER, S.A. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante manifiesta que fue administradora de una mercantil, con acceso a sus cuentas bancarias en BANCO SANTANDER, S.A. hasta el 27 de diciembre de 2016, momento en el que es removida y sustituida por otra persona. Declara que dicha información fue facilitada por la mercantil a la parte reclamada, junto con las cuentas anuales, que cada año desde 2016 a 2023 entrega por motivos de determinación de riesgo de crédito a petición de la parte reclamada y de la correspondiente publicación en el BORME. La parte reclamante indica que no tiene capacidad de representación, ni acceso a las cuentas bancarias ni capacidad de operar con ellas y que, pese a haberse comunicado a la parte reclamada su cese y pese a la información periódica facilitada, la parte reclamada no ha actualizado sus bases de datos, manteniendo información obsoleta y errónea. A este respecto señala que, en el año 2023, en el transcurso de una investigación por fraude fiscal contra la mercantil de la que fue administradora, el Juzgado requirió a la parte reclamada que facilitase la identidad del representante de dicha mercantil con acceso a las cuentas y capacidad de operar y dicha entidad facilitó los datos de la parte reclamante, pese a no ser cierto, con el consiguiente perjuicio. Expone que, tras tener conocimiento de lo ocurrido, en fecha 3 de julio de 2024, la parte reclamante acude a una oficina de la parte reclamada poniendo en conocimiento de dicha entidad la existencia de datos erróneos y solicita que se rectifiquen las bases de datos de la reclamada, se borren sus datos personales como administradora de la citada mercantil y se emita fe de errata ante el Juzgado Central de Instrucción, negándose a ello el director de la oficina, alegando no tener autoridad. Ante la negativa recibida, en fecha 27 de julio de 2024, reitera su solicitud de supresión ante el Delegado de Protección de Datos de la parte reclamada y recibe respuesta, en fecha 28 de agosto de 2024, solicitando aclaración/subsanación de su solicitud, subsanando la parte reclamante su solicitud, en fecha 10 de septiembre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 2024, señalando que el derecho vulnerado es el de rectificación (artículo 16 de la LOPDGDD) y que se ha incumplido también lo previsto en el artículo 4.1 de la LOPDGDD, relativo al deber de actualización de datos para mantener su utilidad para los fines por los que fueron recabados, habiéndose facilitado información errónea por la reclamada al Juzgado Central de Instrucción, por lo que debe igualmente enmendarse tal error comunicando al mismo la rectificación de los datos objeto de esta reclamación, sin que haya recibido contestación de la parte reclamada dentro del plazo legalmente establecido. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 18 de febrero de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 10 de marzo de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones: “En consideración a las razones que han quedado expuestas entiende esta entidad, qué solicitada por la reclamante la baja de su condición de apoderada con la justificación documental necesaria a tal efecto, se ha procedido por el Banco a llevar a efecto la misma, por lo que el derecho de la reclamante ha quedado satisfecho.” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, formulando, en síntesis, las siguientes alegaciones: “a. Deseo dejar constancia de que mi queja, NO se dirige a los hechos acontecidos con anterioridad a la investigación de la Audiencia Nacional, ni a lo que ha pasado con anterioridad al bloqueo de las cuentas personales y profesionales (10/11/2023). Mi queja, se centra, en la actuación de los datos de la entidad bancaria, conmigo, en el momento que soy conocedora de la envergadura de lo que está sucediendo y el motivo por el cual estoy investigada y/o intervenida, es decir desde mayo del 2024, información que comparto e informo a todos los interlocutores o representantes de las oficinas del Banco Santander que me dirijo (Almacelles, Seròs y Fraga), mediante correos electrónico y/o llamadas telefónicas, lo que quiero es subsanar el error detectado. b. La entidad bancaria, intenta mediante sus alegaciones, eludir su responsabilidad sobre los hechos expuestos, manifestando, que la mercantil en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 el 2016 no aportó la documentación necesaria para acreditar mi cese el 27/12/2016 y poder quitarme como administradora e informar el nuevo. Pero la responsabilidad y buena diligencia, por parte de la entidad bancaria, según el Real 304/2014, de 5 de mayo por el que se desarrolla el Reglamento de la Ley 10/2010, de 28 de abril (Prevención del Blanqueo de Capitales y de la financiación del terrorismo), indica: - Art.
- Sujetos obligados, entre ellos se encuentra las entidades bancarias. - Art.
- Propósito de índole de la relación de negocios. Establecerán medidas estableciendo y aplicando procedimientos de verificación de actividades con mayor o menor frecuencia dependiendo del riesgo. - Art.
- Seguimiento continuo de la relación de negocios. Con frecuencia determinada también en función del riesgo para garantizar que los datos e información esté actualizada. - Art. 7.
- Especifica que sin perjuicio de lo dispuesto en el párrafo segundo del artículo 3.1, los sujetos obligados no solo aplicarán las medidas de diligencia debida previstas en este capítulo a todos los nuevos clientes sino, asimismo, a los clientes existentes, en función del análisis del riesgo. Con todo ello se acredita que la entidad bancaria no puede eximirse de la responsabilidad que tiene a mantener una base de datos actualizada y veraces. La norma no especifica sobre que frecuencia se deben realizar los escrutinios por las entidades bancarias, ya que depende de la valoración del riesgo (y según sus alegaciones este es muy bajo), pero a modo orientativo, según interpretación consolidada y aceptada, por: - SEPBLAC, criterios operativos. - Auditoras de cumplimiento normativo. - Políticas internas de los bancos, basadas en estándares internacionales como los del GAFI (FATF). En empresas de bajo riesgo deberían realizarse cada 5 años. Y en mi caso han pasado 7 años y por lo sucedido nadie ha realizado ninguna comunicación al respecto. Sólo yo cuando soy consciente de lo que está sucediendo y mi gran insistencia para realizar la actualización de los datos. c. Desde mi cese 27/12/2016, no tengo poderes para actuar en nombre y representación de la mercantil con empresas privadas, entidades públicas y/o financieras, del mismo modo que no puedo entregar documentación ni tengo conocimiento sobre las actuaciones de estas terceras personas con la empresa por hechos posteriores a mi cese. d. Por lo expuesto, la base de la reclamación es la vulneración de los principios del Reglamento (UE) 2016/679 (RGPD) en las actuaciones a partir de mayo del 2024, que YO pongo en conocimiento a la entidad bancaria de los ceses y nombramientos de cargos, realizados por la entidad desde mi cese 27/12/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 Ya que no queda acreditada ninguna de las actuaciones realizadas por la entidad bancaria en la subsanación de los datos.” QUINTO: Examinado el escrito presentado por la parte reclamante, se traslada a la parte reclamada, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, formulando, en síntesis, las siguientes alegaciones: “En el caso concreto de la reclamante, que ejerció como administradora desde su nombramiento hasta su cese , no se aprecia en qué puede perjudicarla el hecho de que se haya solicitado por ella con retraso la baja de sus facultades en el Banco, y mucho menos sabiendo que, cuando fue cesada, su empresa le notificó su cese con la información del nombramiento de un nuevo administrador, por lo que de haber acometido después nuevas operaciones sería un tema de su exclusiva y personal responsabilidad, agravada por el hecho de no haber comunicado su cese al Banco, por cuyo motivo no se aprecia qué relevancia puede tener que, en una de las entidades terceras con las que su empresa se relacionaba, se haya efectuado con retraso, por no haber solicitado antes la empresa la baja de sus facultades.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 18 de febrero de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de rectificación El artículo 16 del RGPD, que regula el derecho de rectificación de los datos personales inexactos, establece lo siguiente: "El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional". V Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "
- El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; d) los datos personales hayan sido tratados ilícitamente; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado
- Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
- Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a) para ejercer el derecho a la libertad de expresión e información; b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3; d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o e) para la formulación, el ejercicio o la defensa de reclamaciones". VI Conclusión Comenzaremos diciendo que el procedimiento de derechos se instruye como consecuencia de la denegación de algunos de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso, se analizarán los hechos relativos al ejercicio de los derechos de rectificación y supresión. El resto de las cuestiones planteadas por la parte reclamante, no serán tenidas en cuenta en esta resolución, pero esta Agencia se reserva el derecho de abrir una investigación si lo considera oportuno. En el supuesto aquí analizado, ha quedado acreditado que la reclamante solicitó la rectificación de sus datos ante la reclamada dado que ésta ha facilitado erróneamente sus datos al Juzgado Central de Instrucción, solicitando también la supresión de sus datos vinculados a la mercantil de la que fue administradora y que se emita fe de errata ante el Juzgado, sin que recibiera contestación de la reclamada dentro del plazo legalmente establecido. La parte reclamada alega, que el retraso en hacer constar en el Banco la baja de las facultades de administrador de la parte reclamante, se debe a la falta de diligencia de la propia empresa y de su administración en gestionar la actualización de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 apoderados y las facultades de los mismos, no siendo de recibo que dadas la fecha de nombramiento y de cese la reclamante no se haya solicitado la baja de las mismas con la presentación de la documentación correspondiente de la que resulte esa baja y las facultades del administrador que la sustituya, como así lo declara la misma parte reclamante y atestigua el empleado del Banco, que hasta mediados del año 2024 no tuvo constancia la parte reclamada del cambio de administrador de la mercantil. Por lo tanto, el banco no tuvo conocimiento del cambio de administrador hasta que la parte reclamante con fecha 3 de julio de 2024 pidió la supresión de sus datos como administradora de la mercantil. Por otra parte, hay que decir que la reclamada no está obligada suprimir los datos de la reclamante hasta que se cierre la reclamación interpuesta por la reclamante a la que administrativamente la reclamada está obligada a contestar. Conforme a la normativa de protección de datos, la supresión de los datos según lo establecido en el artículo 32 de la LOPDGDD, debe llevarse a cabo mediante el bloqueo, por lo tanto, la supresión de los datos personales al haber dejado de ser necesarios para la finalidad que justificó su tratamiento no implicará automáticamente su borrado físico. Esta actuación está sometida a determinadas condiciones con las que se pretende asegurar y garantizar el derecho del afectado a la protección de sus datos de carácter personal. Los datos bloqueados quedarán a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos, para las exigencias de posibles responsabilidades derivadas de tratamiento y por el plazo de prescripción de estas. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Durante la tramitación del presente procedimiento, la entidad reclamada ha contestado a esta Agencia, pero no acredita haber atendido lo solicitado por la parte reclamante remitiéndole la preceptiva respuesta a su solicitud. A este respecto, cabe señalar que, no cabe aceptar que la respuesta que corresponda realizar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. Y, además, de acuerdo con lo dispuesto en el artículo 19 del RGPD y conforme solicitó la reclamante, la reclamada estaría obligada a comunicar al Juzgado Central de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Instrucción la rectificación de datos personales solicitada con arreglo al artículo 16 del RGPD. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en los artículos 16 y 17 del RGPD e instar al BANCO SANTANDER, S.A., con NIF A39000013, para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación en la que se atienda los derechos de rectificación y supresión ejercidos o se denieguen motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará, de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y al BANCO SANTANDER, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas , los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-100425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es