← España

PS-00046-2015

1/13 Procedimiento Nº PS/00046/2015 RESOLUCIÓN: R/01327/2015 En el procedimiento sancionador PS/00046/2015, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 25/02/2014 tiene entrada en esta Agencia un escrito de B.B.B. (en lo sucesivo del denunciante), en el que declara: Con fecha 28/04/2013, recibió una reclamación de deuda por parte del BANCO DE SANTANDER, S.A. (en lo sucesivo SANTANDER), que corresponde con un aval que ya no se encontraba en vigor. Tras comprobar la vigencia de la deuda en la CIRBE, solicitó la cancelación del riesgo, que mediante resolución de 13/05/2013, ratifica la inexactitud de los datos, indicando que el Banco ha procedido a rectificar la información. Con fechas 31/05/2013 y 05/06/2013 recibió sendas notificaciones de inclusión de sus datos en BADEXCUG y ASNEF respectivamente por parte del SANTANDER. Con fecha 03/06/2013, el propio SANTANDER confirma la eliminación del riesgo, incluso con carácter retroactivo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a SANTANDER, EQUIFAX IBERICA, S.L. (en lo sucesivo EQUIFAX), EXPERIAN BUREAU DE CRÉDITO, S.A. (en lo sucesivo EPERIAN), teniendo conocimiento de que: - Con fecha 25/03/2014, se solicita a EXPERIAN información relativa al denunciante y de la respuesta recibida, con fecha 07/05/2014, se desprende lo siguiente Respecto del fichero BADEXCUG: No consta información. Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada al denunciante como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por SANTADER, con fecha 2/05/2013, por importe de 84.667,02€. Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Información relativa a una operación impagada informada por SANTANDER, por deuda de 84.667,02€, con fecha de alta 26/05/2013 y fecha de baja 13/02/2014, por petición de la entidad informante. Respecto a los EXPEDIENTES asociados al denunciante: Consta un expediente de solicitud de cancelación del afectado de fecha 14/02/2014 y contestación del mismo día. - Con fecha 20/03/2014, se solicita a EQUIFAX información relativa al denunciante y de la respuesta recibida con fecha 8 de abril de 2014, se desprende lo siguiente: Respecto del fichero ASNEF: No consta en esa fecha información asociada al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada al denunciante como consecuencia de la inclusión de sus datos personales en el fichero ASNEF por SANTANDER, con fecha 30/05/2013, por importe de 84.667,02€. Respecto del fichero de BAJAS: Consta una baja asociada a la inclusión citada en el apartado anterior, con fecha baja 14/02/2014, figurando como motivo CLIENTE. Respecto al expediente asociado al denunciante: Consta un expediente de solicitud de cancelación del afectado de fecha 11/02/2014 y contestación de la misma con fecha 14/02/2014, en la que se le informa de que han procedido a la Baja con la entidad SANTANDER. - SANTADER ha remitido a esta Agencia, con fecha 06/06/2014, la siguiente información en relación con los hechos denunciados: En la contestación que se remitió al denunciante por parte de la entidad, con fecha 06/03/2013, se le comunicó que se procedía a la baja de acuerdo con su solicitud. La demora en eliminar el riesgo en la C.I.R. se debió a perturbaciones en el sistema debidas a la integración de las entidades BANESTO Y BANIF que fueron absorbidas por el Banco, no obstante ya se ha subsanado el error. TERCERO: Con fecha 02/02/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SANTANDER por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de SANTANDER solicito mediante e-mail de 11/02/2015 copia de los documentos que integraban el expediente administrativo, que le fueron remitidos el 12/02/2015. En fecha 20/02/2015, la representación de SANTANDER presento escrito de alegaciones, formulando en síntesis las siguientes: que ya en respuesta al requerimiento de información de la Agencia se señalaba que en dicha época se estaba produciendo la migración de los sistemas de Banesto y Banif, absorbidos por el banco, lo que provoco alguna distorsión que pudo afectar a los sistemas automatizados de información de riesgos a la CIR y a ficheros de solvencia; que la entidad considera que las deficiencias advertidas responden a un error o fallo de carácter técnico de manera que una vez advertidas quedaron definitivamente subsanadas. QUINTO: Con fecha 26/02/2015 se inició el período de práctica de pruebas, acodándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/01590/2014. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por SANTANDER. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 - Solicitar a la denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó cualquier otra manifestación en relación con los hechos denunciados. El 11/03/2015 el denunciante dio respuesta a la prueba requerida cuyo contenido obra el expediente. SEXTO: En fecha 06/05/2015, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a SANTANDER por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, con multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de SANTANDER mediante escrito de fecha 13/05/2015 reiteraba las alegaciones realizadas con anterioridad y mostraba su disconformidad con la sanción propuesta considerando que el origen fortuito de las deficiencias observadas justificarían la reducción de la sanción aplicada. HECHOS PROBADOS PRIMERO. En fecha 25/02/2014, tuvo entrada en esta Agencia escrito del denunciante en la que manifiesta que había recibido de SANTANDER requerimiento de pago de una deuda correspondiente a un aval que ya no se encontraba en vigor de conformidad con el contrato de liberación de garantes firmado por las partes; que la deuda fue incluida en el CIRBE, ratificándose la inexactitud de los datos por SANTANDER y cancelando la información incluida en el mismo. No obstante, posteriormente había recibido notificación de EXPERIAN y ASNEF-EQUIFAX relativa a la inclusión en los ficheros de solvencia de la citada deuda informada por SANTANDER (folios 1 y 2). SEGUNDO. Consta el DNI del denunciante nº E.E.E. (folio). TERCERO. El denunciante ha aportado copia de Contrato Privado de Liberación de Garantes de fecha 28/11/2012, suscrito por SANTANDER y por otra un tercero y el denunciante como fiadores solidarios, en cuyo expositivo se señala que interesa a las partes liberar al tercero y al denunciante como fiadores solidarios por lo que se acuerda: “PRIMERA.- que por acuerdo de las partes intervinientes, en esta fecha quedan sin efecto alguno y totalmente liberados los citados avalistas del afianzamiento prestado a LEVEL TELECOM, SL, en virtud delo estipulado en la escritura…” (folios 3 y 4). CUARTO. SANTANDER remitió al denunciante el 19/04/2013 requerimiento de pago en el que le intimidaba a regularizar la situación de incumplimiento otorgándole plazo de 30 días y en caso contrario informaría sus datos a los ficheros de solvencia ASNEF y BADEXCUG (folio 5). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 QUINTO. Consta que el denunciante se dirigió al Departamento de Información Financiera y Central de Riesgos del Banco de España, expediente D.D.D., por datos suministrados a la CIRBE por SANTANDER, obteniendo respuesta el 13/05/2013 y 24/02/2014 de que la entidad financiera había procedido a rectificar la información declarada a la citada central de riesgos (folios 6 y 10). No obstante, el 08/05/2014 y ante una nueva reclamación del denunciante al citado departamento le indicaba que habían procedido a tramitar su solicitud de cancelación de datos comunicados ante SANTANDER, requiriendo al banco para que revisara los datos comunicados a la CIR, ratificándolos, rectificándolos o cancelándolos (folio ). SANTANDER respondía el 19/05/2014 que había procedido a dar respuesta a su reclamación del riesgo declarado para el proceso 2014/03 (riesgo indirecto, con garantía real, en mora, por importe de 85.000 €), manifestando lo siguiente: “Respecto a lo que indica la reclamante y una vez realizado el análisis de este expediente, decir que hemos pasado instrucciones al departamento competente para que subsanen la incidencia con carácter retroactivo, así como tomado nota para las venideras. Aclarar, que las veces anteriores no se pudo obtener el resultado deseado debido a un problema informático” Dichas rectificaciones han sido comunicadas a las entidades a las que fueron cedidos los datos erróneos” (folio). SEXTO. En fecha 08/04/2014, Equifax Ibérica, S.L. como encargado del fichero ASNEF, ha informado que en el mismo consta una incidencia asociada al identificador NIF E.E.E. correspondiente al denunciante, informadas por SANTANDER, por operación financiación bienes, en la condición de avalista, con fechas de alta y baja 27/05/2013-14/02/2014, por un saldo impagado de 84.667,02 euros. La citada incidencia fue notificada a la dirección C/ A.A.A., (La Coruña) (folio 28). Consta que la denunciante se dirigió a ASNEF-EQUIFAX, como responsable del fichero ASNEF, en fecha 11/02/2014, en el ejercicio del derecho de cancelación de los datos que figuraban en el fichero, quien en fecha 14/02/2014 le informaba que habían procedido a la baja de los datos asociados a su identificador. También le informaban que sus datos habían sido consultados en los últimos seis meses por SANTANDER (folios 37 y 38). SEPTIMO. En fecha 07/05/2014, EXPERIAN como responsable del fichero BADEXCUG, ha informado que en el citado fichero consta una incidencia asociada al identificador E.E.E. correspondiente al denunciante, informada por SANTANDER, por producto financiación bienes de equipo, constando como fecha de alta y baja 26/05/2013-13/02/2014, por un saldo impagado de 84.667.02 euros (folios 49, 50, 54, 55). La citada incidencia fue notificada a la dirección C/ A.A.A., (La Coruña) (folios 53). Consta que la denunciante se dirigió a EXPERIAN, como responsable del fichero BADEXCUG, en fecha 14/02/2014, en el ejercicio del derecho de cancelación de los datos asociados a su identificador, quien en la misma fecha le contestaba que no figuraba información alguna relativa al mismo. También le informaban que sus datos habían sido consultados en los últimos seis meses por Banco Gallego, Banco Popular, Banco Sabadell, Evo Banco, Novacaixagalicia, Bansamex y Santander (folios 63). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 OCTAVO. SANTANDER en escrito de fecha 20/02/2015 ha señalado que en la época de los hechos acaecidos se estaba “produciendo la migración de los sistemas de Banesto y Banif, que habían sido absorbidos por el banco, lo que puntualmente produjo alguna distorsión que eventualmente pudo afectar a los sistemas automatizados de información de riesgos a la CIR y a los ficheros de solvencia patrimonial, lo que pudo determinar que las rectificaciones efectuadas, no fueran tomadas por dichos sistemas, de forma que la baja no llega a comunicarse ni a reflejarse en la información susceptible de comunicación” (folios 82 y 83). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a SANTANDER en el presente procedimiento sancionador una infracción del artículo 4.3 de la LOPD, que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en los ficheros de morosos se realizó conforme determina la normativa de protección de datos. En el presente caso, de lo comunicado a esta Agencia por ASNEF-EQUIFAX y EXPERIAN ha quedado acreditado que los datos personales del denunciante fueron informados a los ficheros ASNEF y BADEXCUG por SANTANDER, por una operación financiación bienes, en la condición de avalista, con fechas de alta y baja 27/05/201314/02/2014 (ASNEF) y 26/05/2013-13/02/2014 (BADEXCUG), por un saldo impagado de 84.667.02 euros, deuda que no era cierta, ni vencida, ni exigible. Sin embargo, como así consta en los hechos probados el denunciante ha aportado copia del Contrato Privado de Liberación de Garantes, formalizado en Santiago de Compostela el 28/11/2012, de una parte por SANTANDER y por otra un tercero y el denunciante como fiadores solidarios, en cuyo expositivo se señala que interesa a las partes liberar a el tercero y al denunciante como fiadores solidarios por lo que se acuerda: “PRIMERA.- que por acuerdo de las partes intervinientes, en esta fecha quedan sin efecto alguno y totalmente liberados los citados avalistas del afianzamiento prestado a LEVEL TELECOM, SL, en virtud delo estipulado en la escritura…”. A mayor abundamiento, los datos personales del denunciante figuraron en la CIRBE a instancias de SANTANDER, vinculados a un riesgo financiero por importe de 85.000 euros, derivado del afianzamiento anterior con posterioridad al acto liberatorio que había sido reconocido y suscrito por la propia entidad crediticia. Inclusión que motivó que el denunciante realizara hasta tres reclamaciones ante el Departamento de Información Financiera y Central de Riesgos del Banco de España, por los datos suministrados a la CIRBE por SANTANDER. La propia entidad denunciada ha señalado en escrito de 20/02/2015 que en el tiempo de acaecimiento de los hechos se estaba “produciendo la migración de los sistemas de Banesto y Banif, que habían sido absorbidos por el banco, lo que puntualmente produjo alguna distorsión que eventualmente pudo afectar a los sistemas automatizados de información de riesgos a la CIR y a los ficheros de solvencia patrimonial”, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 SANTANDER, como acreedor e informante de dichos datos a los ficheros de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, SANTANDER debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación de los afectados, antes de instar la inclusión en los ficheros, dada las repercusiones personales que conlleva estar incluido y permanecer en los mismos. Estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.
  4. c)de la citada Ley Orgánica.. III Consta acreditado en esta Agencia que las entidades asociadas a los ficheros ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en los propios ficheros automatizados de SANTANDER. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial, en caso de que dichos datos sean de obligados respecto de una deuda para con la entidad que insta la inclusión . La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  6. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por SANTANDER puede subsumirse o no en tales definiciones legales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 SANTANDER instó la incorporación al fichero ASNEF y BADEXCUG de los datos del denunciante, en virtud de una deuda que no respondía con veracidad a la situación actual de aquel (en aquel momento), ya que adolecía del requisito de su certeza. Dicha comunicación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos, como es su incorporación a una cinta magnética en cuyo destino también va a ser tratada automáticamente por los responsables del fichero de solvencia. Conforme a lo expuesto, SANTANDER ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda asociados al denunciante), y el uso del tratamiento (la incorporación del denunciante a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicados y mantenidos en los ficheros fueran exactos, pues la deuda informada no era cierta, ya que SANTANDER y el denunciante (junto a un tercero), habían suscrito Contrato Privado de Liberación de Garantes, el 28/11/2012, en el que se determinaba que quedaban liberados como fiadores solidarios del afianzamiento prestado a LEVEL TELECOM, SL, en virtud de lo estipulado en la escritura hipotecaria. A mayor abundamiento, SANTANDER no solo incluyó los datos en los ficheros denominados comúnmente de morosos, sino que también los incluyo en la CIRBE asociados a un riesgo financiero por importe de 85.000 euros derivado de la operación de financiación, cuando consta contrato de liberación del afianzamiento. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder SANTANDER por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que SANTANDER es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del artículo 3.
  7. d)y
  8. c)de la citada Ley Orgánica. IV El fichero Central de Información de Riesgos del Banco de España, es un fichero que se encuentra regulado por su propia normativa especial, dado que cuenta con una singularidad y unas funciones específicas. Su regulación y funcionamiento viene establecida en el Capítulo VI de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero (en adelante Ley 44/2002), artículos 59 a 69 de la misma. Asimismo, la Disposición Transitoria de dicha ley, establece que continuarán en vigor las disposiciones dictadas en desarrollo del artículo 16 del Decreto-Ley 18/1962, de 7 de junio, siempre que no se opongan a la regulación dispuesta en la misma. Así pues, continua en vigor la Circular del Banco de España dirigida a las entidades de crédito, número 3/1995, de 25 de septiembre, (en adelante Circular 3/1995) El artículo 59 de la Ley 44/2002, sobre “Naturaleza y objetivos de la Central de Información de Riesgos”, establece que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 “Primero. La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad, permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección, contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas. Segundo. La administración y gestión de la CIR corresponden al Banco de España. El Banco de España estará facultado para desarrollar sus normas de funcionamiento de acuerdo con lo previsto en la presente Ley. Tercero. No habrá lugar al derecho de oposición de los afectados al tratamiento, realizado conforme a lo previsto en la presente Ley, de sus datos de carácter personal.” El artículo 60 de la citada norma establece en su apartado primero sobre “Entidades declarantes y contenido de las declaraciones” que: “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos Esta obligación se extenderá a los riesgos mantenidos a través de entidades instrumentales integradas en los grupos consolidables de las entidades declarantes, y a aquellos que hayan sido cedidos a terceros conservando la entidad su administración. Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Los datos referentes a las personas mencionadas en el presente apartado no incluirán, en ningún caso, los regulados en el artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Los datos declarados a la CIR por las entidades obligadas serán exactos y puestos al día, de forma que respondan con veracidad a la situación actual de los riesgos y de sus titulares en la fecha de la declaración.” Y en el apartado quinto de este mismo artículo se determina que “la declaración de los datos sobre riesgos referidos a personas físicas que las entidades declarantes realicen a la CIR conforme a lo previsto en la presente Ley no precisa de su consentimiento”. El artículo 61 de la misma Ley 44/2002 relativo a la “Información sobre los datos declarados” establece en su apartado segundo lo siguiente: “Segundo. Las entidades declarantes tendrán derecho a obtener informes sobre los riesgos de las personas físicas o jurídicas, incluidas las Administraciones públicas, registrados en la CIR, siempre que dichas personas cumplan alguna de las circunstancias siguientes:
  9. a)Mantener con la entidad algún tipo de riesgo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13
  10. b)Haber solicitado a la entidad un préstamo o cualquier otra operación de riesgo.
  11. c)Figurar como obligadas al pago o garantes en documentos cambiarios o de crédito cuya adquisición o negociación haya sido solicitada a la entidad. Las entidades deberán informar por escrito a las personas en las que concurra el supuesto contemplado por el párrafo
  12. b)precedente del derecho de la entidad previsto en este apartado.” V De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  13. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. SANTANDER ha incurrido en la infracción descrita ya que ha vulnerado el principio consagrado en el artículo 4.3 de la LOPD, que encuentran su tipificación en el artículo 44.3.
  14. c)de la citada Ley Orgánica. VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  15. a)El carácter continuado de la infracción.
  16. b)El volumen de los tratamientos efectuados.
  17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  18. d)El volumen de negocio o actividad del infractor.
  19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. f)El grado de intencionalidad.
  21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
  26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. SANTANDER ha alegado que las circunstancias concurrentes en el presente caso justificarían una reducción de la sanción. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que SANTANDER ha vulnerado el artículo 4.3 de la LOPD, al informar los datos de carácter personal del denunciante a los ficheros ASNEF y BADEXCUG con fechas de alta y baja 27/05/2013-14/02/2014 y 26/05/2013-13/02/2014 respectivamente, en su condición de avalista de una operación de financiación de bienes, por un saldo impagado de 84.667.02 euros, deuda que no era cierta, ni vencida, ni exigible. Además, también SANTANDER informó al CIRBE un riesgo financiero asociado al denunciante por importe de 85.000 euros, en su condición de fiador hipotecario. Sin embargo, el denunciante junto a un tercero suscribieron con SANTANDER el 28/11/2012, Contrato Privado de Liberación de Garantes, formalizado en Santiago de Compostela, en el que se indicaba que interesa a las partes liberar al denunciante y al tercero como fiadores solidarios, acordándose “PRIMERA.- que por acuerdo de las partes intervinientes, en esta fecha quedan sin efecto alguno y totalmente liberados los citados avalistas del afianzamiento prestado a LEVEL TELECOM, SL, en virtud delo estipulado en la escritura…”. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso podría considerarse que permite apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto contemplado en el artículo 45.5,
  30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad, puesto que la entidad señaló tanto en la respuesta al requerimiento de información de la Inspección como al Acuerdo de Inicio del procedimiento sancionador que la demora en eliminar el riesgo informado fue debido a perturbaciones y distorsiones en los sistemas automatizados durante la integración de las entidades BANESTO Y BANIF, absorbidas por el Banco, por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Sin embargo, no cabe considerar la atenuante prevista en el 45.5
  31. e)al no quedar acreditada que las citadas deficiencias observadas en la eliminación del riesgo informado al fichero como consecuencia de las distorsiones en los sistemas hubieran sido producidas como cliente de las citadas entidades durante el proceso de integración y absorción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Por otra parte, hay que indicar que no se aprecia actuación diligente por la entidad infractora para regularizar la situación irregular creada. Hay que indicar que el denunciante, ante la comunicación a la CIRBE del riesgo financiero asociado a sus datos, se dirigió hasta en tres ocasiones al Departamento de Información Financiera y Central de Riesgos del Banco de España, dando lugar al expediente D.D.D. y, si bien SANTANDER respondía a las dos primeras señalando que había procedido a rectificar la información declarada a la CIR, ante la nueva reclamación del denunciante al citado departamento el 19/05/2014 volvía a comunicar que: “…una vez realizado el análisis de este expediente, decir que hemos pasado instrucciones al departamento competente para que subsanen la incidencia con carácter retroactivo, así como tomado nota para las venideras. Aclarar, que las veces anteriores no se pudo obtener el resultado deseado debido a un problema informático” (folio 92). En aras a graduar la sanción que corresponde imponer, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren la agravante prevista en el apartado
  32. a)del artículo 45.4 de la LOPD, “el carácter continuado de la infracción”, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a BBVA, tiene naturaleza de infracción continuada o permanente,
  33. c)del artículo 45.4 de la LOPD, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el apartado
  34. d)del artículo 45.4 de la LOPD “volumen de negocio” toda vez que se trata de una de las mayores entidades crediticias del país, por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular el carácter continuado de la infracción, la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal, el volumen de negocio del infractor, se impone sanción de 50.000 € por la infracción del artículo 4.3 de la LOPD, de la que SANTANDER debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO SANTANDER, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  35. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BANCO SANTANDER y a B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.