← España

PS-00107-2014

1/14 Procedimiento Nº PS/00107/2014 RESOLUCIÓN: R/01001/2014 En el procedimiento sancionador PS/00107/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, S.A., (BANCO ESPAÑOL DE CRÉDITO) vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13 de marzo de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que : “En el año 2004 llegué a un acuerdo con la entidad BANCO ESPAÑOL DE CRÉDITO SA (BANESTO) […] para la cancelación de unas deudas que tenía con ellos, y entre las que se incluían un riesgo financiero a corto plazo por un importe de 9.000 euros. No obstante, en fecha 15 de septiembre del 2.008, solicité un informe de riesgos al BANCO DE ESPAÑA, en el que seguía figurando como riesgo moroso el importe de 9.000 euros. En esa fecha y dado que yo había sido empleado de la entidad BANESTO SA, telefónicamente me he puesto en contacto con el departamento de recursos humanos de la dirección regional de Galicia, solicitándoles que procedieran a la anulación de dicha anotación en la CIRBE, dado que entendía que deberían de anularla y rectificarla, a lo que me contestaron simplemente con lo miraremos. Como esta gestión fue realizada telefónicamente, no tengo prueba documental de ello. En febrero del 2.013, procedo a solicitar de nuevo al BANCO DE ESPAÑA un informe de riesgos, siendo mi sorpresa que la entidad BANESTO SA seguía teniendo anotado en la CIRBE el riesgo de los 9.000 euros en moroso, cuando la realidad era que ya se había liquidado y cancelado en el año 2004. En fecha 11 de febrero del 2.013 presento reclamación ante el BANCO DE ESPAÑA, recibiendo en fecha 1 de marzo de 2.013 contestación favorable a mí, y posteriormente por correo certificado recibo notificación de la propia entidad BANESTO SA, en la que reconocen que efectivamente el banco llegó a un acuerdo transaccional, dejando cancelada la deuda de los 9.000 euros en el año 2004. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Todo lo anteriormente expuesto ha sido incumplido continuamente durante varios años ( 2004 a 2012) en los que seguía figurando en la CIRBE la anotación del riesgo financiero como moroso y que ya estaban cancelados en el año 2004, y además con unas anotaciones, al menos extrañas, dado que en informe CIRBE del 2005/12 y 2006/12, figuraban como morosos una operación de 9.000 euros y otra de 6.000, en el informe CIRBE del 2007/12 figuraban como morosos 6.000 euros, en informe CIRBE del 2008/07 volvía a figurar como morosos 9.000 euros, los cuales se mantuvieron hasta mi reclamación, y que todos ellos habían sido liquidados con el acuerdo transaccional del año 2004, según reconoce la propia entidad en su carta de fechas 26 de febrero del 2013.” Aporta copia de informes de la CIRBE de fechas 2003-12, 2004-12, 2005-12, 2006-12, 2007-12, 2008-12 y 2012-12. Aporta también copia de los aludidos documentos: escrito del BANCO DE ESPAÑA contestando a su reclamación, y notificación de BANESTO reconociendo la cancelación de la deuda por acuerdo transaccional en 2004. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información teniendo conocimiento de que: Del análisis de la documentación aportada por el denunciante se desprende lo siguiente : - Consta informe de riesgos correspondiente a 2012-12 del BANCO DE ESPAÑA, obtenido con fecha 11-02-2013 que refleja un riesgo en situación de “Mora” por importe de 9000 euros a nombre del denunciante, e informado por BANCO ESPAÑOL DE CREDITO SA. - Consta una carta del BANCO DE ESPAÑA, de fecha 01/03/2013, mediante la que se da respuesta a la reclamación del denunciante. En ella se lee : «Como continuación a nuestra comunicación anterior le informamos que la entidad BANCO ESPAÑOL DE CRÉDITO, SA ha dado respuesta a su reclamación manifestando lo siguiente: "El banco llegó a un acuerdo transaccional con el reclamante dejando cancelada la deuda en el año 2004, la cual procede del contrato ***NÚMERO.1. En consecuencia, procederemos a realizar la baja de los riesgos a nombre del titular D. A.A.A. procedente del referido contrato en las declaraciones efectuadas desde enero de2004," Dichas rectificaciones han sido comunicadas a las entidades a las que fueron cedidos los datos erróneos.» - Consta una carta del BANCO ESPAÑOL DE CREDITO, SA de fecha 26/02/2013, mediante la que se da respuesta a la reclamación del denunciante. En ella se lee : “En relación a la reclamación del asunto, ponemos en su conocimiento que después de realizar el análisis del riesgo declarado a C.I.R.B.E. para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 proceso 2012/12, riesgo financiero a corto plazo, en mora, por importe de 9.000€ a nombre de D. A.A.A., consideramos darlo de baja. El banco llegó a un acuerdo transaccional con el reclamante dejando cancelada la deuda en el año 2004, la cual procede del contrato ***NÚMERO.1. En consecuencia, procederemos a realizar la baja de los riesgos a nombre del titular D. A.A.A. procedente del referido contrato en las declaraciones efectuadas desde enero de 2004.” Solicitada información y documentación sobre el afectado al BANCO DE ESPAÑA, se recibe contestación en los siguientes términos: “Una vez consultado el departamento competente de esta Institución, y entendiendo que al tratarse de una denuncia presentada por el interesado existe un consentimiento tácito a que dicha información pueda ser facilitada por el Banco de España, les informamos de que BANCO ESPAÑOL DE CRÉDITO, S.A. ha declarado riesgos al titular desde diciembre de 2003 (primera fecha disponible) a enero de 2013. Asimismo ponemos en su conocimiento que con fecha 28 de febrero de 2013 y 1 de marzo del mismo año, la entidad rectificó los riesgos declarados a nombre del titular desde el proceso de enero de 2007 a enero de 2013 (ambos inclusive), dando de baja un riesgo financiero, en suspenso o en mora (dependiendo del periodo), por importe de 9.000 €. Respecto a la segunda cuestión planteada, relativa a la consulta de las anotaciones por terceras entidades, les informamos de que, consultados los últimos 6 años disponibles, los datos que figuraban a nombre del titular, antes de las rectificaciones referidas, fueron cedidos a las siguientes entidades por haberlo solicitado expresamente: ENTIDAD INFORME FECHA DE CESION 2091 0. A. DE GALICIA 0182 BBVA 1484 MBNA EUROPE BANK LIMITED, S.E. 1 2096 C. ESPAÑA DE INVERSIONES, C.A.Y MP. 0182 BBVA 0097 BANCO DE GALICIA, S.A. 0072 BANCO PASTOR, SA. 0182 BBVA 0075 BANCO POPULAR ESPAÑOL, S.A. 0225 BANCO CETELEM, S.A. 20-12-2007 08-09-2008 02-09-2008 16-09-2008 05-11-2008 12-11-2008 10-06-2009 15-10-2009 17-01 -2012 13-02-2013 FECHA DEL 2007-10 2008-07 2008-07 2008-07 2008-09 2008-09 2009-04 2009-08 2011-11 201 2-12 Asimismo, dichos datos fueron cedidos mensualmente a las entidades que declararon algún riesgo al titular en el periodo coincidente con la declaración de BANCO ESPAÑOL DE CRÉDITO, S.A. Dichas entidades fueron: - 00072 BANCO PASTOR, S.A.- Se le cedieron los datos desde 2003-12 a 2004-02. - 0225 BANCO CETELEM, S.A. - Se le cedieron los datos desde 2004-04 a 2006-08 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 desde 2007-03 a 2009-11. - 2080 N.C.G. BANCO, S.A. - Se le cedieron los datos desde 2007-12 a 2013-01. - 2091 CAJA DE AHORROS DE GALICIA.- Se le cedieron los datos desde 2003-12 a 2006-07 y de 2007-12 a 2011-07. - 2096 CAJA ESPAÑA DE INVERSIONES, C.A.Y M.P. - Se le cedieron los datos desde 2008-09 a 2013-01. - 8236 SANTANDER CONSUMER, E.E.C., S.A. - Se le cedieron (os datos desde 200404 a 2006-04. - 8818 CITIFIN, S.A., E.E.C. - Se le cedieron los datos desde 2006-08 a 2013-01. Por último, procede señalar que, en cumplimiento de lo establecido en el artículo 66 de la Ley 44/2002 de Medidas de Reforma del Sistema Financiero, el Banco de España comunica las rectificaciones realizadas de los datos declarados, a las entidades a las que se le hubieran cedido los datos erróneos, tanto por haberlo solicitado expresamente como por haber declarado algún riesgo al titular.” Adjuntan los informes de riesgos anuales con la declaración de BANCO ESPAÑOL DE CRÉDITO, S.A. a 31 de diciembre de los años 2003 a 2012 y a enero de 2013. En dichos informes se constata que en el proceso de diciembre de 2008 y siguientes, incluido 2013, a fecha 09-01-2014 en que se obtienen los informes ya no aparece ningún riesgo declarado, como consecuencia de la rectificación efectuada. Se ha requerido a BANCO ESPAÑOL DE CREDITO SA (ahora BANCO DE SANTANDER, SA por fusión por absorción en 2013 ) para que informe sobre los motivos que justifiquen la inclusión de deuda en la CIRBE, a pesar del acuerdo transaccional reflejado en la carta de contestación, de fecha 01/03/2013, emitida por el BANCO DE ESPAÑA al denunciante con ocasión de su reclamación. Se ha adjuntado al requerimiento de información emitido por esta Agencia copia de dicha carta. Los representantes de la entidad han manifestado lo siguiente: “Recabada información sobre su solicitud E/02881/2013 de 11 de diciembre de 2013, le informamos que como consecuencia de un juicio por estafa, falsedad y alzamiento de bienes, se llegó a un acuerdo con el banco por el que éste se separaba del procedimiento en cuya virtud se fijaba en 14.000.000 de pesetas el importe de la responsabilidad civil derivada de los hechos perseguidos. Se acompaña el correspondiente acuerdo transaccional. Según el documento que igualmente acompaña, tal importe correspondía a un riesgo considerado fallido por el importe equivalente de 84.355 euros. Pero al lado de dicho riesgo, como resulta del documento antes mencionado, había otro contabilizado por una financiación a corto plazo por la cantidad de 9.291,04 euros que al no mencionarse expresamente como incluido en el acuerdo se mantuvo en CIRBE, hasta que, a solicitud del interesado y en base entre otras razones a su eventual prescripción se dio de baja del mismo en 2013. ….” Aportan copia de la impresión de un correo electrónico interno que se origina con motivo de la gestión de la reclamación interpuesta por el afectado en el BANCO DE ESPAÑA. En el correo se cita que el titular alega que el préstamo fue cancelado en 2004 por liquidación extrajudicial indicando adicionalmente que la deuda ha prescrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 TERCERO: Con fecha 28 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANCO ESPAÑOL DE CREDITO (BANCO SANTANDER, S.A.) por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANESTO (BANCO DE SANTANDER S.A.), mediante escrito que tuvo entrada en el Registro de la AEPD el 18 de marzo de 2013, formuló alegaciones en las que solicitó el archivo del presente expediente sancionador, basándose básicamente, en las siguientes alegaciones: La CIRBE ha venido publicando un importe de un contrato de financiación a corto por 9.000 euros distinto al acuerdo transaccional de responsabilidad civil que el denunciante alega, (cuya deuda fue cancelada), por importe de 84.131,70 euros. Banesto canceló los datos incluidos en la CIRBE por importe de 9000 euros en consideración a la reclamación de que dicha deuda había prescrito, invocada de contrario, y optó por ello a acceder a la reclamación del interesado. QUINTO: Con fecha 25 de marzo de 2014 se inició el período de práctica de pruebas en el que: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANCO SANTANDER, S.A., (BANESTO), BANCO DE ESPAÑA y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02881/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00107/2014 presentadas por BANCO SANTANDER, S.A., (BANESTO) y la documentación que a ellas acompaña. SEXTO: Con fecha 11 de abril de 2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancione a BANCO SANTANDER, S.A.,(BANCO ESPAÑOL DE CRÉDITO) con multa de 15.000 € ( quince mil euros) por la infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  2. c)de dicha norma. SEPTIMO: En fecha 22 de abril de 2014 tuvieron entrada en el Registro de la AEPD las alegaciones de BANCO SANTANDER, S.A., a la Propuesta de Resolución donde se reproducen básicamente las alegaciones al acuerdo de inicio, señalando la entidad denunciada que se está haciendo responsable a Banco de Santander por hechos realizados por Banesto. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 PRIMERO: El denunciante, D. A.A.A., con NIF: ***NIF.1 manifiesta que BANESTO (BANCO DE SANTANDER S.A) informó sus datos personales a la Central de Información de Riesgos del Banco de España: CIRBE, relacionados con una deuda de 9000 euros que ya había liquidado y cancelado en el año 2004. (folio 1) SEGUNDO: Se acredita la existencia de informes de riesgo de la CIRBE donde aparece un riesgo dispuesto de 9000 euros a nombre del denunciante (riesgo financiero con vencimiento medio, inferior a un año). Los informes aportados por el denunciante son de los años 2005, 2006, 07-2008, 2012 y la entidad informante es Banco Español de Crédito. (folios 6,7,9,11 y 39) TERCERO: El departamento jurídico de Banco de España manifiesta que con fecha 28 de febrero de 2013 y 1 de marzo del mismo año, la entidad BANCO ESPAÑOL DE CRÉDITO S.A. rectificó los riesgos declarados a nombre del titular desde el proceso de enero de 2007 a enero de 2013 (ambos inclusive), dando de baja un riesgo financiero, en suspenso o en mora (dependiendo del periodo), por importe de 9.000 €. (folio 32) CUARTO: Existe una carta enviada por Banesto, de fecha 26 de febrero de 2013, al denunciante cuyo asunto es la reclamación del denunciante referida a un riesgo a su nombre declarado en la CIRBE (Central de Información de Riesgos del Banco de España). Dicha carta señala lo siguiente: “En relación a la reclamación del asunto, ponemos en su conocimiento que después de realizar el análisis del riesgo declarado a C.I.R.B.E. para el proceso 2012/12, riesgo financiero a corto plazo, en mora, por importe de 9.000€ a nombre de D. A.A.A., consideramos darlo de baja. El banco llegó a un acuerdo transaccional con el reclamante dejando cancelada la deuda en el año 2004, la cual procede del contrato ***NÚMERO.1. En consecuencia, procederemos a realizar la baja de los riesgos a nombre del titular D. A.A.A. procedente del referido contrato en las declaraciones efectuadas desde enero de 2004.” QUINTO: Con fecha 1 de marzo de 2013 responde la CIRBE al denunciante en relación al expediente tramitado en ésta sobre los datos suministrados por BANESTO a la Central de Riesgos de Banco de España. En ella se lee : «Como continuación a nuestra comunicación anterior le informamos que la entidad BANCO ESPAÑOL DE CRÉDITO, SA ha dado respuesta a su reclamación manifestando lo siguiente: "El banco llegó a un acuerdo transaccional con el reclamante dejando cancelada la deuda en el año 2004, la cual procede del contrato ***NÚMERO.1. En consecuencia, procederemos a realizar la baja de los riesgos a nombre del titular D. A.A.A. procedente del referido contrato en las declaraciones efectuadas desde enero de2004," Dichas rectificaciones han sido comunicadas a las entidades a las que fueron cedidos los datos erróneos.» FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El fichero Central de Información de Riesgos del Banco de España (en adelante CIRBE) es un fichero que se encuentra regulado por su propia normativa especial, dado que cuenta con una singularidad y unas funciones específicas. Su regulación y funcionamiento viene establecida en el Capítulo VI de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero (en adelante Ley 44/2002), artículos 59 a 69 de la misma. Así mismo, la Disposición Transitoria de dicha ley, establece que continuarán en vigor las disposiciones dictadas en desarrollo del artículo 16 del Decreto-Ley 18/1962, de 7 de junio, siempre que no se opongan a la regulación dispuesta en la misma. Así pues, continua en vigor la Circular del Banco de España dirigida a las entidades de crédito, número 3/1995, de 25 de septiembre, (en adelante Circular 3/1995) El artículo 59 de la Ley 44/2002, sobre “Naturaleza y objetivos de la Central de Información de Riesgos”, establece que: “Primero. La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad, permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección, contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas. Segundo. La administración y gestión de la CIR corresponden al Banco de España. El Banco de España estará facultado para desarrollar sus normas de funcionamiento de acuerdo con lo previsto en la presente Ley. Tercero. No habrá lugar al derecho de oposición de los afectados al tratamiento, realizado conforme a lo previsto en la presente Ley, de sus datos de carácter personal.” El artículo 60 de la citada norma establece en su apartado primero sobre “Entidades declarantes y contenido de las declaraciones” que: “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos. Esta obligación se extenderá a los riesgos mantenidos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 través de entidades instrumentales integradas en los grupos consolidables de las entidades declarantes, y a aquellos que hayan sido cedidos a terceros conservando la entidad su administración. Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Los datos referentes a las personas mencionadas en el presente apartado no incluirán, en ningún caso, los regulados en el artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Los datos declarados a la CIR por las entidades obligadas serán exactos y puestos al día, de forma que respondan con veracidad a la situación actual de los riesgos y de sus titulares en la fecha de la declaración.” Señalar que el fichero CIRBE no es un fichero de solvencia patrimonial y crédito, regulado por el artículo 29 de la LOPD, sino un fichero de evaluación de riesgos asumidos por las entidades financieras y bancarias, siendo la entidad declarante de los datos la única que tiene la posibilidad de conocer los riesgos asumidos por sus clientes, los cuales comunica en cumplimiento de una obligación legal y para cuya inclusión no se exige el consentimiento del afectado. III El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que traspone la LOPD, establece en su artículo 6. I.
  4. d)que “Los Estados miembros dispondrán que los datos personales sean….
  5. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 dispuesto en el apartado I”. La obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados, correspondiendo al acreedor la responsabilidad de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. IV Se imputa a BANESTO (BANCO DE SANTANDER S.A.) en el expediente sancionador que nos ocupa una infracción del artículo 4.3 de la LOPD. El tratamiento de datos del denunciante de forma inexacta se materializó cuando la Banesto informó a la Central de Riesgos del Banco de España de un crédito con la calificación “S” Suspenso desde el año 2005 a enero de 2013 declarando un riesgo financiero a corto plazo, por importe de 9.000 euros. (hechos probados segundo y tercero) En fase de alegaciones al acuerdo de inicio BANESTO (BANCO DE SANTANDER S.A.) manifestó que la CIRBE ha venido publicando un importe de un contrato de financiación a corto por 9.000 euros distinto al acuerdo transaccional de responsabilidad civil, (cuya deuda fue cancelada), por importe de 84.131,70 euros y que Banesto en consideración a la reclamación de que la deuda de 9.000 euros había prescrito, invocada de contrario, optó por acceder a la reclamación del interesado. Sin embargo resulta claramente acreditado que el mismo BANESTO en carta al denunciante manifiesta lo siguiente: “En relación a la reclamación del asunto, ponemos en su conocimiento que después de realizar el análisis del riesgo declarado a C.I.R.B.E. para el proceso 2012/12, riesgo financiero a corto plazo, en mora, por importe de 9.000€ a nombre de D. A.A.A., consideramos darlo de baja. El banco llegó a un acuerdo transaccional con el reclamante dejando cancelada la deuda en el año 2004, la cual procede del contrato ***NÚMERO.1. Por tanto es la misma entidad denunciada la que reconoció que la deuda quedó cancelada por la entidad denunciada en el año 2004. En el mismo sentido lo puso de manifiesto el Banco de España referido a la deuda objeto de controversia 9.000 euros. (hechos probados cuarto y quinto) Por ello se aprecia una falta de diligencia notoria de una entidad que por el volumen de datos tratados y su especialización debería actuar con un especial cuidado. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3, infracción tipificada en el artículo 44.3.
  6. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  7. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Debemos analizar si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
  8. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la STAN anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el supuesto que nos ocupa el elemento subjetivo de la culpabilidad se concreta en la falta de diligencia observada por BANESTO (BANCO DE SANTANDER S.A.) al mantener datos personales del denunciante de alta en la CIRBE, habiendo la propia entidad manifestado que dicha deuda quedó cancelada en 2004.. (hechos probados cuarto y quinto) Esto implica una falta de diligencia notoria, más aún si tenemos en cuenta que se dio de alta al denunciante en la CIRBE en el año 2005 y no se le dio de baja en el proceso hasta enero de 2013, declarando un riesgo financiero a corto plazo, suspenso por importe de 9.000 euros. (hechos probados segundo y tercero) B) Por otro lado, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
  9. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate"; pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. No obstante, de la documentación que obra en el expediente se desprende la conveniencia de apreciar, la circunstancia prevista en el apartado
  25. e)del artículo 45.5 de la LOPD “Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente” Y esto es así porque BANCO ESPAÑOL DE CRÉDITO S.A. aprobó en proyecto de fusión con BANCO DE SANTANDER S.A. el 9 de enero de 2013, produciéndose la finalización del proceso legal de fusión en mayo de 2013, pasando a convertirse en BANCO DE SANTANDER S.A., por la fusión por absorción de Banesto por parte de Banco Santander. Así mismo procede apreciar, en el asunto que nos ocupa, la circunstancia prevista en el apartado
  26. b)del artículo 45.5 de la LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Tras la reclamación del afectado al servicio de reclamaciones del Banco de España la entidad denunciada canceló la anotación en la CIRBE con lo que se actuó con cierta diligencia, al menos en la regularización de la infracción. En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, consideramos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar, el importante volumen de negocio de BANESTO – SANTANDER S.A. (apartado d, del artículo 45.4), dado que estamos ante uno de los primeros bancos del país por cuota de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 mercado, hecho notorio sobre el que no es necesaria prueba. Están presentes también las circunstancias recogidas en los apartados siguientes del artículo 45.4 ya citado: apartado c), que versa sobre la vinculación de la actividad de BANESTO – SANTANDER S.A. con la realización de tratamientos de datos de carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales tanto de clientes como de terceros. Se estima por otra parte la presencia de la agravante recogida en el apartado f), relativo al grado de intencionalidad, habida cuenta de que ésta expresión debe interpretarse en el sentido de grado de “culpabilidad” y no en su sentido literal, lo que equivaldría al dolo, y de que la denunciada demostró una grave falta de diligencia informas datos personales inexactos del denunciante al CIRBE durante 8 años. (hechos probados segundo y tercero) Respecto del incumplimiento del artículo 4.3 hay que señalar que, valoradas en conjunto las circunstancias previstas en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que concurre la contemplada en el apartado
  27. e)y
  28. b)del artículo 45.5 de esta norma, se sanciona a BANESTO – SANTANDER S.A. con una multa de 15.000 € (quince mil euros) por la infracción del artículo 4.3 de la LOPD, de la que esa entidad es responsable. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO SANTANDER, S.A., por la infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  29. c)de dicha norma, una multa de 15.000 € (quince mil euros) de conformidad con lo establecido en el artículo 45.2 y 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BANCO SANTANDER, S.A. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.