PS-00138-2017

1/6 Procedimiento Nº: PS/00138/2017 RESOLUCIÓN R/01523/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00138/2017, instruido por la Agencia Española de Protección de Datos a la entidad ING BANK NV SUCURSAL EN ESPAÑA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 5 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ING BANK NV SUCURSAL EN ESPAÑA, mediante el Acuerdo que se transcribe: ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ING BANK NV SUCURSAL EN ESPAÑA en virtud de denuncia presentada ante la misma por A.A.A. y en base a los siguientes, HECHOS PRIMERO: El 17 de mayo de 2016, tiene entrada en la Agencia Española de Protección de Datos escrito de denuncia donde se manifiesta que al contactar con ING BANK NV SUCURSAL EN ESPAÑA (en adelante ING BANK) solicitando información sobre un producto, comprobó que la entidad tenía sus datos personales sin que hubiera tenido ninguna relación con la misma. Por este motivo ejerció el derecho de acceso y fue contestado, en fecha 22 de abril de 2016, con un escrito en el que le informan que sus datos fueron obtenidos en la apertura de una Cuenta Nómina, en fecha 2 de abril de 2007, en la que era titular D.D.D. y en la que el denunciante figuraba como autorizado. También le informan que dicha cuenta fue dada de baja en fecha 7 de agosto de 2008. En el escrito constan sus datos de nombre y apellidos, DNI, fecha de nacimiento y domicilio, el cual no corresponde con ningún domicilio del denunciante. El denunciante considera que los datos han sido obtenidos sin su conocimiento y sin su consentimiento y que la entidad bancaria no ha procedido a su cancelación ya que la cuenta fue dada de baja en el año 2008. El escrito de contestación de ING BANK es del 22 de abril de 2016. Y, entre otra, anexa la siguiente documentación:  Escrito de contestación del ejercicio de acceso de fecha 22 de abril de 2016 donde le informan que sus datos fueron obtenidos en la apertura de una Cuenta Nómina en fecha 2 de abril de 2007 y dada de baja el 7 de agosto de 2008 junto con los datos personales que dispone la entidad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ING BANK NV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 SUCURSAL EN ESPAÑA, teniendo conocimiento de que: 1. ING BANK aporta formulario de apertura de cuenta donde figuran los datos personales de nombre y apellidos, DNI y fecha de nacimiento del denunciante como autorizado (segundo titular). ING BANK manifiesta que los datos fueron facilitados por la primera titular, en marzo de 2007, a través de la web de la entidad (www.ingdirect.es). Respecto de la dirección postal, ING BANK manifiesta que corresponde con la dirección asociada a la cuenta y facilitada por la primera titular. 2. ING BANK manifiesta que el documento en papel de la contratación carecía de la firma del autorizado por lo que se tramitó una incidencia destinada a obtener el formulario correctamente firmado remitiendo una comunicación al efecto, no obstante, y debido al tiempo transcurrido no ha sido posible obtener dicha comunicación. 3. Con fecha 7 de agosto de 2008, la titular solicitó la eliminación del autorizado procediéndose a eliminar al denunciante como interviniente de la cuenta. 4. Con fecha 11 de abril de 2016, se recibió un escrito del denunciante solicitando ejercitar su derecho de acceso, siendo contestado en fecha 22 de abril de 2017 informando del origen de los datos. Este escrito coincide con el aportado por el denunciante a la Agencia. Por lo tanto, podemos concluir que en el presente caso, el denunciante manifiesta que sus datos personales han sido utilizados para la apertura de una cuenta, sin su consentimiento. De las actuaciones de investigación realizadas por esta Agencia, se desprende que el denunciante, aparece como autorizado en una cuenta nómina de la entidad ING BANK abierta por D.D.D. el 2 de abril de 2007. Sin embargo, no puede acreditarse el consentimiento del denunciante en la contratación de dicha cuenta nómina, ya que en el contrato no aparece su firma, sólo la del titular. Así las cosas, en relación a la apertura de dicha cuenta nómica, al no poder acreditar ING BANK el consentimiento dado por el denunciante como autorizado de la cuenta, habrá que solventar esta situación, teniendo en cuenta lo señalado en el artículo 12.3 del RLOPD, el cual establece que “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho”; por lo que al no poder acreditarse el consentimiento del denunciante al no contar con su firma como autorizado en el contrato de apertura de la cuenta nómina objeto del presente caso, se entenderá que el denunciante no dio su consentimiento. FUNDAMENTOS DE DERECHO Los hechos expuestos podrían suponer infracción del artículo 4.5 de la LOPD, que indica que “los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos.” Por lo tanto, dicha infracción será tipificada como grave en el artículo 44.3.

1. c)de dicha norma, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso. Esto será así por las actuaciones diligentes de ING BANK ya que por un lado, responde el 22 de abril de 2016, a la solicitud de acceso presentada por el denunciante y por otro lado, en cuanto tiene conocimiento de la presente denuncia, reconoce los hechos, por lo que se considera que será de aplicación el artículo 45.5
2. d)LOPD, que establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate cuando el infractor haya reconocido espontáneamente su culpabilidad.” Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. Agravantes: - Por el carácter continuado de los hechos denunciados, (apartado 4. a ), no procediéndose a subsanar la falta de firma del autorizado, desde la apertura de la cuenta el 2 de abril de 2007, hasta ser cerrada dicha cuenta el 7 de agosto de 2008. - Por la vinculación de la actividad de ING BANK con la realización de tratamientos de datos de carácter personal (apartado 4.
3. c)- Por el volumen de negocio de la entidad denunciada (apartado 4.
4. d)Atenuantes: - Disponer ING BANK, del contrato firmado por la titular de la cuenta nómina (apartado 4. f ). - Falta de reincidencia en la comisión de esta infracción por ING BANK (apartado 4.
5. g)- No constar perjuicios para el denunciante como consecuencia de los hechos denunciados (apartado 4.
6. h)- Por tener implantados procedimientos adecuados para evitar un tratamiento indebidos de los datos personales de sus clientes, (apartado 4.
7. i)siendo los hechos que dan lugar a la infracción consecuencia de una anomalía puntual en el momento de la contratación. - Por constar el denunciante como cliente o autorizado (apartado 4. j ) según manifestaciones de la titular de la cuenta, de la que sí consta acreditada su identidad y consentimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 1. INICIAR PROCEDIMIENTO SANCIONADOR a ING BANK NV SUCURSAL EN ESPAÑA con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 4.5 de esta misma norma, que indica que está tipificada como grave en el artículo 44.3
8. c)de la citada Ley. 2. NOMBRAR como Instructor a C.C.C., (y Secretario, en su caso a B.B.B.) indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección, realizado a ING BANK NV SUCURSAL EN ESPAÑA. 4. QUE a los efectos previstos en el art. 64.2
9. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
10. b)del RLOPD, la sanción que pudiera corresponder sería de 10.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a ING BANK NV SUCURSAL EN ESPAÑA indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
11. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
12. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 2.000 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 2.000 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 Euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000 Euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000 Euros o 6.000 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00138/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
13. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos SEGUNDO: En fecha 24 de mayo de 2017, la entidad ING BANK NV SUCURSAL EN ESPAÑA ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 24 de mayo de 2017 tuvo entrada en esta Agencia escrito de la entidad ING BANK NV SUCURSAL EN ESPAÑA, de fecha 24 de mayo de 2017, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción reglamentariamente” previsto en este apartado podrá ser incrementado De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00138/2017, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ING BANK NV SUCURSAL EN ESPAÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es