PS-00077-2013

1/12 Procedimiento Nº PS/00077/2013 RESOLUCIÓN: R/01601/2013 En el procedimiento sancionador PS/00077/2013, instruido por la Agencia Española de Protección de Datos a la entidad IBERCAJA BANCO S.A.U., vista la denuncia presentada por Dña. E.E.E. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23/11/2011 tiene entrada en esta Agencia escrito de Dña. E.E.E. (en lo sucesivo la denunciante) comunicando que como cliente de Ibercaja Banco S.A.U. (en lo sucesivo el denunciado), el pasado día 7 de noviembre recibió un ingreso bancario por importe de 100 € en su cuenta, realizada por D. B.B.B.. Tras haber recibido un SMS del denunciado informándole del citado ingreso bancario, el día 10 de noviembre acude a su sucursal ubicada en la localidad de A.A.A.) para solicitar una copia del recibo de la transferencia para anexarlo a una denuncia que había presentado días antes, ante la Inspección de Trabajo contra D. B.B.B., por lo que proceden a solicitarlo a la sucursal donde se efectuó el ingreso. Al llegar el fax con el justificante comprobó que en el recibo que le habían entregado a D. B.B.B. se recogía su nombre completo y su domicilio. Según indica la reclamante, ha recibido en su buzón postal el pasado día 14 de noviembre una carta sin cerrar y sin franqueo con el membrete del denunciado y en cuyo interior estaba el justificante original del ingreso entregado a D. B.B.B. y que supone fue depositado en su buzón por él mismo. SEGUNDO: A la vista de los hechos contenidos en la denuncia, en fecha 29/12/2011 se acordó por esta Agencia la inadmisión a trámite de la misma, en el expediente E/05183/2011. TERCERO: Presentado recurso de reposición, el mismo se resuelve el 5/03/2012 en el que se acuerda: “…ESTIMAR el recurso de reposición interpuesto por D. E.E.E. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de diciembre de 2011 y ordenar a la Subdirección General de Inspección de Datos de esta Agencia que proceda a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/1334/2012…” CUARTO: En fase de actuaciones previas E/1334/2012 por los Servicios de Inspección de esta Agencia se solicita información a la entidad denunciada, teniendo conocimiento de los siguientes hechos:

1. a)Cuando un tercero realiza un ingreso en efectivo en una cuenta “en la oficina C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 se edita un justificante que se entrega al ordenante (tercero), que sólo edita la primera línea de la ventana de correspondencia del apartado destinatario con la identificación del beneficiario que haya sido facilitada por el ordenante (tercero), sin domicilio. No se entrega al ordenante ningún otro documento.”
2. b)Con relación al motivo por el que figura el domicilio en el justificante de ingreso de la afectada, los representantes de la entidad manifiestan que “se ha efectuado esta operación con la operatoria propia de ingresos en efectivo realizados por los propios intervinientes de la cuenta”.
3. c)La afectada presentó una reclamación, poniendo estos hechos en conocimiento de la entidad denunciada. QUINTO: Con fecha 11 de febrero de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad denunciada, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
4. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.00 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. SEXTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 13/03/2013 formuló alegaciones, significando que: <<…1ª La denuncia que ha motivado el presente acuerdo de inicio de procedimiento sancionador fue presentada ante esa Agencia Española de Protección de Datos por Dª E.E.E. con fecha 23.11.11, por lo que a las fechas de la resolución del acuerdo de inicio de expediente sancionador 11.02.13 y notificación del mismo a mi representada 15.02.13, había transcurrido el plazo máximo de doce meses establecido en el artículo 122.4 del Reglamento de la Ley Orgánica de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, por lo que las actuaciones previas habían caducado en la fecha en que se ha dictado el acuerdo de inicio de expediente sancionador (…) En virtud de todo lo anterior ha de alegarse por mi representada la caducidad de las actuaciones previas. 2ª No consta en el expediente administrativo al que se ha tenido acceso el acuse de recibo de la denunciante de la resolución del Director de la Agencia Española de Protección de Datos acordando el archivo de la denuncia nº E/05183/2011. Por ello no puede verificarse si el recurso de reposición impugnando Ia citada resolución fue interpuesto por la denunciante en tiempo y forma (…) - Documento página 10/página 29: Se trata de una copia de cuerpo del justificante de la operación que se archiva en la oficina, tal y como viene expresado al pie del mismo “2. Archivo”. Dicho documento (página 10/página 29), tal y como manifiesta Ia denunciante, obraba en poder de Ia oficina realizadora de la operación ( A.A.A.) y es enviado por fax a Ia oficina de A.A.A. que, a su vez, lo entrega a la denunciante…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 SÉPTIMO: Con fecha 2/04/2013 se inició el período de práctica de pruebas, en el que se acuerda, entre otros: <<…3. Se acuerda incorporar al procedimiento copia del Acuse de recibo de la recepción de la resolución del procedimiento E/05183/2011. Del Acuse de recibo de la recepción de la resolución del procedimiento RR/00124/2012 y del escrito recibido el 13/08/2012 en esta Agencia de la denunciante comunicando un nuevo domicilio. 4. Solicitar a la denunciante remita copia de los correos y mensaje que alega haber recibido de D. B.B.B.. Que remita toda la documentación que obre en su poder sobre la tramitación de la denuncia presentada en el Juzgado de lo Social, resultado de la misma y cualquier documento al que pueda tener acceso en dicho Juzgado donde figure la firma de D. B.B.B.. Se solicita nos informe de los cambios de residencia en estos dos últimos años, si ha presentado alguna otra denuncia por la incidencia con D. B.B.B. y cualquier otro dato de interés en relación con la denuncia presentada en esta Agencia. 5. Solicitar a Ibercaja nos informe de la fecha desde que la denunciante recibe de dicha entidad la correspondencia por vía electrónica. Solicitar a Ibercaja nos remita copia del modelo 21556 04 07 o modelo actual, que se tramita por abonos en cuenta cuando el destinatario es diferente al mandante (con todas sus copias tanto la de archivo, como la que se entrega al mandante), si dicho modelo es autocopiativo etc. En relación con el documento página 10/página 29 se solicita nos comuniquen el nombre de las personas a las que corresponden las firman que obran en el mismo. En caso de ser cliente de esa entidad D. B.B.B. si dicha firma se corresponde con dicho cliente…>> OCTAVO: Con fecha 17/04/2013 se recibe escrito de la denunciante comunicando: <<…con fecha 22/11/11 se retira la denuncia puesto que la cantidad ya estaba abonada, la misma inspectora me explica que ellos no tienen la potestad para denunciar el hecho de que Ibercaja le haya facilitado mi domicilio, es ella quien me dice que denuncie a la AEPD y es ella quien me facilita el formulario de denuncia, también me recomienda que acuda a la policía a denunciar, al acudir a la policía ellos me recomiendan denunciar en el juzgado a ibercaja y respecto a Don (…) me dicen que si le veo cerca de mi domicilio que les llame y entonces si pueden actuar contra él (…) Los cambios de domicilio envío copia en el 1º cambio (…) En el mes de abril de este año nos trasladamos de nuevo a la dirección actual en (…) Aporto un artículo que D. (…) escribió en un periódico local donde el mismo dice tomar 14 pastilla diarias (antidepresivos, anti psicóticos (…))…>> NOVENO: Con fecha 24/04/2013 se recibe escrito de Ibercaja comunicando: “…1° De acuerdo con los registros que obran en nuestro poder, Dª E.E.E. recibe la correspondencia por vía electrónica desde el 4 de Febrero de 2011 (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 2° Adjunto remitimos copia del modelo número 21556 04 07 que consta de tres cuerpos autocopiativos (doc.1, 2 y 3) (el subrayado es de la AEPD). Se hace constar, a efectos aclaratorios, que el modelo número 21556 04 07 no es el que se utiliza en la operatoria con la que se realizan los ingresos de efectivo efectuados por un tercero ajeno a la cuenta o abonos en cuenta cuando el destinatario es diferente al mandante (…) (el subrayado es de la AEPD). 3° La firma que figura en el documento indicado corresponde a la persona que realizó el ingreso, Don B.B.B., y el visado que aparece junto a la misma al director de la A.A.A. …” DECIMO: Con fecha 23/05/2013 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 40.001 € al denunciado, por la comisión de una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
5. d)de dicha Ley. UNDÉCIMO: Con fecha de puesta en el Servicio de Correos de 21/06/13 y fecha de entrada en la Agencia el 26/06/2013 la entidad denunciada realizó alegaciones frente a la citada propuesta de resolución en la que se ratifican en las alegaciones manifestadas a lo largo del procedimiento y comunicando: <<3.- Que incluso aún con Ia apertura de un nuevo expediente de actuaciones previas (EI01334/2012), como se alega por la Instructora en el fundamento de derecho primero de la propuesta de resolución, estas posteriores actuaciones previas habrían igualmente caducado puesto que responden a Ia denuncia de fecha 23.11.11, tal y como consta en el propio acuerdo de inicio del procedimiento sancionador (…) Todas estas afirmaciones suponen meras hipótesis o presunciones y carecen de prueba acreditativa de Ia infracción que en el presente expediente se imputa a mi representada. Se sanciona a mi representada porque aparece la firma del Sr. B.B.B. en un impreso en el que figuran unos datos, pero no ha quedado debidamente acreditado que tuviera acceso a los mismos, por cuanto dentro de Ia misma lógica se le pudo igualmente impedir el acceso a esos datos ocultándolos en el momento de Ia firma (…) Con carácter subsidiario se solicita que la sanción que pudiera, en su caso, imponerse, de llegarse a ese punto en el procedimiento sancionador, debería graduarse y reducirse en aplicación de lo dispuesto en el artículo 45.5 de la Ley Orgánica 15/1.999, de Protección de Datos de Carácter Personal, por resultar de aplicación varios de los criterios de graduación recogidos en el artículo 45.4 de la citada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. En concreto, resultarían de aplicación, entre otros, los siguientes criterios de graduación:
6. b)El volumen de los tratamientos efectuados, teniendo en cuenta que la denuncia afecta a un solo dato de un único cliente.
7. e)ausencia de beneficios obtenidos como consecuencia de la comisión de Ia infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12
8. f)falta de intencionalidad…>> HECHOS PROBADOS PRIMERO: Con fecha de 23/11/2011 y 10/02/2012 tienen entrada en esta Agencia escritos de la denunciante comunicando que como cliente de Ibercaja, el día 7 de noviembre de 2011 recibió un ingreso bancario por importe de 100 € en su cuenta, realizada por D. B.B.B.. Tras haber recibido un SMS del denunciado, informándole del citado ingreso bancario. El día 10 de noviembre acude a su sucursal ubicada en la localidad de A.A.A.) para solicitar una copia del recibo de la transferencia para anexarlo a una denuncia que había presentado días antes, ante la Inspección de Trabajo contra D. B.B.B., por lo que proceden a solicitarlo a la sucursal donde se efectuó el ingreso. Al llegar el fax con el justificante comprobó que en el recibo que le habían entregado a D. B.B.B. se recogía su nombre completo y su domicilio (modelo número 21556 04 07) (folios 1 a 13 y 17 a 33). SEGUNDO: Con relación al motivo por el que figura el domicilio en el justificante de ingreso de la afectada, los representantes de la entidad manifiestan que “se ha efectuado esta operación con la operatoria propia de ingresos en efectivo realizados por los propios intervinientes de la cuenta” (el subrayado es de la AEPD) (folios 39). TERCERO: La entidad denunciada ha comunicado que: <<…Se trata de una copia de cuerpo del justificante de la operación que se archiva en la oficina, tal y como viene expresado al pie del mismo “2. Archivo”. Dicho documento (…), tal y como manifiesta Ia denunciante, obraba en poder de Ia oficina realizadora de la operación (Urbana 11 de A.A.A.) y es enviado por fax a Ia oficina de A.A.A. que, a su vez, lo entrega a la denunciante…>> (modelo número 21556 04 07) (el subrayado es de la AEPD) (folios 87). CUARTO: La denunciante ha comunicado que: <<…con fecha 22/11/11 se retira la denuncia puesto que la cantidad ya estaba abonada, la misma inspectora me explica que ellos no tienen la potestad para denunciar el hecho de que Ibercaja le haya facilitado mi domicilio, es ella quien me dice que denuncie a la AEPD y es ella quien me facilita el formulario de denuncia, también me recomienda que acuda a la policía a denunciar, al acudir a la policía ellos me recomiendan denunciar en el juzgado a Ibercaja y respecto a Don (…) me dicen que si le veo cerca de mi domicilio que les llame y entonces si pueden actuar contra él (…). Los cambios de domicilio envío copia en el 1º cambio (…) En el mes de abril de este año nos trasladamos de nuevo a la dirección actual en (…). Aporto un artículo que D. (…) escribió en un periódico local donde el mismo dice tomar 14 pastilla diarias (antidepresivos, anti psicóticos (…))…>> (folios 111 a 115). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 QUINTO: La entidad denunciada remite copia del modelo número 21556 04 07 y comunica: “2° Adjunto remitimos copia del modelo número 21556 04 07 que consta de tres cuerpos autocopiativos (doc.1, 2 y 3) (el subrayado es de la AEPD). Se hace constar, a efectos aclaratorios, que el modelo número 21556 04 07 no es el que se utiliza en la operatoria con la que se realizan los ingresos de efectivo efectuados por un tercero ajeno a la cuenta o abonos en cuenta cuando el destinatario es diferente al mandante (…) (el subrayado es de la AEPD). 3° La firma que figura en el documento indicado corresponde a la persona que realizó el ingreso, Don B.B.B., y el visado que aparece junto a la misma al director de A.A.A.…”(folio 154). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
9. g)en relación con el artículo 36 de la LOPD. II En relación con la alegación realizada por la entidad denunciada, de caducidad de las actuaciones previas. De conformidad con el art. 122.4 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD, las actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el párrafo segundo “hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones.” Desde la entrada de la denuncia el 23/11/11 ha transcurrido en exceso el plazo de doce meses sin notificar a la entidad denunciada el acuerdo de inicio del procedimiento sancionador, por lo que las actuaciones previas iniciales (E/05183/2011) han caducado respecto a dicha entidad. “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” Sin embargo, el artículo 92.3 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que, “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 En el presente caso, estamos ante una infracción grave del art 10 de la LOPD cuyo plazo de prescripción es de dos años, de conformidad con el art. 47.1 de la citada norma, contados desde el 7/07/2011, por lo que no existió impedimento alguno para la apertura mediante resolución de 5 de marzo de 2012, del Director de la Agencia Española de Protección de Datos de un nuevo procedimiento de actuaciones previas (E/01334/2012) dentro del citado plazo. Por lo que no puede ser tenida en cuenta la alegación de caducidad, por cuanto a la fecha del acuerdo de inicio del presente procedimiento sancionador el 11 de febrero de 2013, no habían transcurrido un año desde el citado 5 de marzo de 2012. III Respecto de la apertura de un nuevo procedimiento sancionador en relación con una infracción no prescrita, previa tramitación de un procedimiento ya caducado, esta Agencia ya se pronunció en la Resolución nº R/00017/2011 de 24/01/2011, en la que se planteó por la representación de la entidad denunciada dudas acerca de dicha posibilidad, citando por este organismo la doctrina jurisprudencial sentada al respecto por el Tribunal Supremo, en concreto se cita en el Fundamento de Derecho II lo siguiente: “la controversia no ha sido pacifica ni por la jurisprudencia ni por la doctrina científica, sin embargo ha quedado zanjada con la Sentencia del Tribunal Supremo de 12 de junio de 2003 ( RJ 2003, 4602) dictada en un recurso de casación en interés de ley, en la que el alto tribunal enjuició la legalidad de una sentencia de una Juzgado de lo contencioso-administrativo de Málaga que anulo una sanción sobre la base de que la dualidad de expedientes sancionadores vulneraba las prescripciones del artículo 44.2 de la Ley 30/1992, habiendo por consiguiente, la administración municipal, impuesto una sanción esquivando la aplicación del régimen de caducidad-perención del procedimiento sancionador. El Tribunal Supremo, sin embargo, no comparte esa conclusión jurídica y fijo la siguiente doctrina legal: “La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en ese precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito ( STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001.” IV La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 modalidad de uso posterior de estos datos por los sectores público y privado.” V En relación con los hechos que se imputan en el presente procedimiento, se hace necesario en primer lugar transcribir diversos conceptos que se acuñan en el artículo 3 de la LOPD. “
10. a)Datos de carácter personal: Cualquier información pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
11. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
12. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
13. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
14. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
15. c)del presente artículo.
16. f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
17. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” VI El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” En el presente caso, ha quedado acreditado que cuando D. B.B.B. realizó el 7/11/2011 un abono en cuenta a la denunciante (de la que desconocía sus apellidos y domicilio, datos que la denunciante no le aportó teniendo en cuenta los correos y mensajes recibidos, así como el contenido del artículo de prensa publicado en un periódico local y en el que figuraban los datos del mismo), la entidad denunciada utilizó el modelo (21556 04 07) (modelo con tres copias autocopiativas), que es según la citada entidad, el modelo de ingresos en efectivo realizados por los propios intervinientes de la cuenta. La copia “2.Archivo”, en poder de la citada entidad figura suscrita por D. B.B.B. y el director de la oficina. En dicha copia del citado documento obran igualmente los apellidos y el domicilio de la denunciante. Aunque no ha quedado acreditado que la copia 1 del citado documento haya sido entregada a la persona que realizó el abono (como es la práctica habitual), sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 embargo dicho documento fue firmado por D. B.B.B., por lo que se le permitió en todo caso acceder a los apellidos y el domicilio de la denunciante, datos que obraban en el documento firmado. Teniendo en cuenta el derecho a la protección de datos de sus clientes, y que en dicho modelo, posiblemente se rellenan de forma automatizada los datos del destinatario (nombre, apellidos y domicilio), la entidad denunciada ha comunicado que el modelo número 21556 04 07 no es el que se utiliza en la operatoria con la que se realizan los ingresos de efectivo efectuados por un tercero ajeno a la cuenta o abonos en cuenta cuando el destinatario es diferente al mandante (…) (el subrayado es de la AEPD). En el presente caso, por el acceso a los apellidos y domicilio de la denunciante por parte de D. B.B.B., a través del ingreso realizado en la entidad denunciada, ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD por parte de dicha entidad. El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida…>> VII El artículo 44.3.
18. d)de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” Así el denunciado ha incurrido en la infracción grave descrita, pues incumplió el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 deber de secreto previsto en el artículo 10 de la LOPD revelando datos personales de la denunciante. VIII El artículo 19 de la LOPD, establece: “Derecho a indemnización 1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas. 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.” IX El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
19. a)El carácter continuado de la infracción.
20. b)El volumen de los tratamientos efectuados.
21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
22. d)El volumen de negocio o actividad del infractor.
23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
24. f)El grado de intencionalidad.
25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, el volumen de tratamiento realizado, la ausencia de beneficios obtenidos, por todo ello procede imponer la sanción en su cuantía de 20.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERCAJA BANCO S.A.U., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
34. d)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a IBERCAJA BANCO S.A.U. y a Dña. E.E.E.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es