PS-00165-2016

1/11 Procedimiento Nº PS/00165/2016 RESOLUCIÓN: R/02504/2016 En el procedimiento sancionador PS/00165/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANKINTER, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 07/05/2015 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que declara que ha solicitado recientemente su estado en Equifax y ha constatado que la última entidad solicitante de su información en el citado registro ha sido BANKINTER, S.A. (en lo sucesivo BANKINTER). Manifiesta que no ha firmado ni dado consentimiento para ello y que está en un proceso de separación de su actual mujer que es empleada de BANKINTER. Aporta documento facilitado por Equifax donde consta que el 18/3/2015, BANKINTER consultó sus datos personales en el fichero ASNEF. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANKINTER y a EQUIFAX IBERICA, S.L.: - Con fecha 11/06/2015 se solicita información a Equifax y de la respuesta facilitada en relación con su fichero denominado “Histórico de Consultas” se comprueba que el 18/3/2015 consta una consulta de Bankinter a los datos personales del denunciante. - Con fecha 12/06/2015 se solicita información a BANKINTER en relación con los motivos por los cuales han accedido a información del denunciante en el fichero de morosidad ASNEF. Con fecha 24/06/2015, BANKINTER remite un escrito a la AEPD solicitando un ampliación de plazo para dar respuesta a lo requerido. Con fecha 03/07/2015 remite la respuesta de la que se desprende lo siguiente: 1. Manifiestan que BANKINTER tiene establecidos procedimientos internos de obligado cumplimiento por parte de sus empleados para garantizar el pleno cumplimiento de la normativa de protección de datos de carácter personal de los clientes del banco. 2. El acceso a la información relativa de los datos del denunciante a los ficheros de solvencia, se trata de un hecho aislado que no responde a las líneas de actuación que BANKINTER tiene establecidas, ya que el acceso se realizó por una empleada de esta entidad, saltándose todos los protocolos internos del banco. Adjuntan copia del código de ética profesional de obligado cumplimiento por todos sus empleados, en cuyo apartado 3.4 “Protección de datos personales” se establece el deber de diligencia con el que debe realizarse el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 informático y comercial de los datos de los clientes (en ningún caso podrán ser tratados los datos personales de clientes o empleados para fines distintos de los legal o contractualmente previstos). 3. Manifiestan que los empleados tienen que realizar el curso de obligado cumplimiento en materia de protección de datos, en el que se analizan las obligaciones de BANKINTER como responsable de fichero y las obligaciones de los empleados para cumplir con lo dispuesto en la normativa de protección de datos. 4. Finalmente añaden que BANKINTER tiene un compromiso firme y coherente con sus pautas generales de actuación y por tanto tan pronto como ha tenido noticia de la infracción cometida por la empleada, lo ha puesto en conocimiento del Comité de Ética, para que dicho Comité investigue lo sucedido, ya que además se da la circunstancia de que la empleada está en proceso de separación con el denunciante. TERCERO: Con fecha 11 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANKINTER, por presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANKINTER, reiteró las consideraciones efectuadas en respuesta al requerimiento de información de fecha 17/06/2015. Tan pronto como tuvo conocimiento de la infracción cometida por la empleada Dña, B.B.B., lo puso en conocimiento del Comité de Ética para que investigara la actuación irregular cometida por la empleada. Tras las investigaciones realizadas la empleada manifestó que estaba en procedo se separación del denunciante, que tenía un régimen de separación de bienes y que ella solicitó a su nombre varios préstamos en Bankinter aunque el destino den dichos prestamos eran los negocios de su ex marido. El motivo de consultar los ficheros de solvencia era conocer las deudas que estaban a su nombre e intentar que su exmarido asumiera las deudas que le correspondían. Señala BANKINTER que se trata de un hecho aislado y puntual y que en cuanto fue detectada la conducta irregular se puso en conocimiento del Comité de Ética para analizar la conducta de la empleada y sancionarla. Aplicación de lo dispuesto en el artículo 45.5 de la LOPD. BANKINTER ha reconocido desde el principio la infracción cometida por su empleada y ha regularizado la situación tan pronto como tuvo conocimiento de ello. QUINTO: Con fecha 18/05/2016 se inició el período de práctica de pruebas, dándose por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/03294/2015, así como las alegaciones al acuerdo de inicio PS/00165/2016 presentadas por BANKINTER, y la documentación que a ellas acompaña. SEXTO: En fecha 23/06/2016 se emitió propuesta de resolución en el sentido de imponer a BANKINTER una multa de 50.000 € por la infracción del artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 SEPTIMO: Notificada la propuesta BANKINTER reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento señalando que actuó diligentemente por cuanto: - Cuenta con un Código de Etica interno al que se someten todos sus empleados y en el que se establecen las normas de conducta que deben seguir. Adicionalmente BANKINTER realiza cursos de formación en materia de datos a todos sus empleados. Tiene establecido en sus sistemas avisos a través de pop up para los empleados, recordándoles los requisitos legales para poder consultar en los ficheros de solvencia patrimonial los datos de clientes. Tan pronto como conoció la infracción, realizó las investigaciones oportunas y sancionó a la empleada. Reconoció desde el primer momento el incumplimiento de la LOPD. HECHOS PROBADOS PRIMERO: Con fecha de 07/05/2015 tiene entrada en esta Agencia un escrito del denunciante), en el que declara que ha solicitado recientemente su estado en Equifax y ha constatado que la última entidad solicitante de su información en el citado registro ha sido BANKINTER. Manifiesta que no ha firmado ni dado consentimiento para ello y que está en un proceso de separación de su actual mujer que es empleada de BANKINTER (folios 1-2) SEGUNDO: En el fichero Histórico de consultas del fichero asnef consta una consulta de los datos personales del denunciante efectuada por BANKINTER en fecha 18/03/2015 (folio 6) TERCERO: BANKINTER reconoce que el acceso a los datos del denunciante en el fichero asnef se efectuó por una empleada que ignoró los protocolos internos del banco. Así el Código de Ética Profesional de BANKINTER de obligado cumplimiento para todos los empleadas en su apartado 3.4 Protección de Datos Personales establece que “En ningún caso podrán ser tratados los datos personales de clientes o empleados para fines distintos de los legal o contractualmente previstos.” (46-70) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Se imputa a BANKINTER, en el presente procedimiento, la comisión de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negociar, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. La definición de tratamiento se señala en el artículo 3.c de la LOPD como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Atendiendo a lo expuesto, el acceso mediante comunicaciones, consultas, interconexiones y transferencias a los datos personales registrados en un fichero constituye un tratamiento de datos personales que requiere, en principio, el consentimiento del afectado o titular de los datos en cuestión. En el presente caso, la consulta a un fichero al que se encuentra asociada la denunciante sin causa justificativa supone un tratamiento sin consentimiento. La cesión o consulta de los datos a o en los ficheros de morosidad se encuentra admitida por la LOPD siempre y cuando la finalidad de la cesión o la consulta se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin por existir una relación negociar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 que supone una deuda cierta, o por querer iniciar una relación negociar. Nuestro legislador ha perfilado, en lo referente a los denominados “ficheros de morosidad”, un perfil especial, mediante un esquema en el que participan dos tipos de entidades distintas: por una parte la entidad responsable del denominado “fichero común”, a la que, por otra, suministran información las denominadas “entidades participantes” o “entidades informantes”. Según este esquema, dichas entidades se asocian al sistema, comprometiéndose a facilitar información referente a los incumplimientos en que incurran sus deudores al responsable del fichero común que, en contraprestación, facilita a dichas entidades, amparada por la Ley, la información suministrada por las restantes entidades adheridas al sistema, conservando aquélla la condición de responsable del fichero común y siendo las entidades participantes meras cedentes/cesionarias de la información contenida en el fichero, en virtud de comunicaciones de datos amparadas por la propia Ley Orgánica 15/1999. Consta acreditado en esta Agencia que las entidades asociadas al fichero de solvencia patrimonial y crédito suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes mediante procedimientos automatizados para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Al mismo tiempo, estas entidades asociadas pueden acceder a la información contenida en tales ficheros que resulte determinante para enjuiciar la solvencia económica del afectado. El modo consulta, diferente del modo inclusión de datos de ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulada en el artículo 42 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), en el que se establece lo siguiente: “Acceso a la información contenida en el fichero. 1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
3. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
4. b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
5. c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
6. b)y
7. c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. En definitiva, se pretende que la consulta no sea indiscriminada y que, en todo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 caso, dicha consulta responda a la existencia de un interés legítimo que pueda ser alcanzado de forma razonable mediante el acceso a la información contenida en el fichero de solvencia patrimonial y crédito. Atendiendo a lo expuesto, el acceso a los datos personales del denunciante registrados en el fichero “ASNEF” efectuado por la entidad BANKINTER, constituye un tratamiento de datos personales para el que resultaba necesario el consentimiento de aquel por cuanto la entidad no ha acreditado que se diera algunos de los supuestos mencionados en el artículo 42 u otros que lo legitimaran, por cuanto consta acreditado que dicha consulta se efectuó por una empleada de la entidad por motivos que no encuentran amparo en las referidas causas que habilitan la consulta por terceros de los datos personales incluidos en los ficheros de solvencia. Con dicha consulta, que BANKINTER no basa en relación o precontrato alguno, ni causa legitimadora, no se entiende justificado el tratamiento de datos personales efectuado por dicha entidad, por cuanto la consulta al fichero mencionado fue indiscriminada, excesiva y no respondía a un interés legítimo. Además, como entidad enmarcada en el seno del sector financiero, se debe al cumplimiento de lo dispuesto en el artículo 81.2.
8. d)del RLOPD, elevando las medidas de seguridad a su nivel medio. En este sentido tampoco constan aportadas al procedimiento las últimas auditorías de seguridad (artículo 96 LOPD), ni el Registro de incidencias (artículos 90 y 100 RLOPD) en el que se debió registrar las medidas correctoras aplicadas. En consecuencia, por los motivos expuestos, no cabe estimar la existencia de la diligencia debida en el proceder de BANKINTER, más si tenemos en consideración que el acceso indebido a los datos del denunciante en el fichero asnef no fue detectada por las medidas de seguridad establecidas por la entidad, sino que únicamente tuvo conocimiento de tal hecho a través de la solicitud de información efectuada por la Agencia con motivo de la denuncia presentada. III En el presente caso, relación de hechos que ha quedado probada a través de la documentación que consta en el expediente, resultando acreditado que BANKINTER no obro con una diligencia normalmente exigible en la consulta realizada, por lo que es posible exigirle responsabilidad en los hechos, (articulo 130.1 Ley 30/1992 ) a tenor de las circunstancias que se acaban de relatar. IV El artículo 44.3.
9. b)de la LOPD, considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En este caso, ha quedado acreditado que BANKINTER, accedió a los datos del denunciante registrados en el fichero de solvencia patrimonial y crédito “ASNEF” sin que acredite la existencia de causa alguna del artículo 42 del RLOPD que habilitara a BANKINTER para consultar los datos del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 V El artículo 45 de la LOPD, apartados 1 a 5, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
25. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados al denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. La entidad BANKINTER solicita la aplicación del artículo 45.5 de la LOPD dado que se trata de un hecho aislado y puntual, que no ha causado ningún perjuicio al denunciante, que se ha reconocido la infracción cometida y que tan pronto como se tuvo conocimiento de ello se regularizó. Respecto al apartado 45.5 de la LOPD hay que señalar que deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En este sentido no cabe apreciar tales circunstancias por cuanto no consta cuando BANKINTER adoptó medidas de seguridad para evitar, como en el presente caso, el acceso indebido a los datos del denunciante obrantes en el fichero de solvencia (asnef) habida cuenta que no se acreditada en el expediente que tuviera conocimiento por sus propios sistemas de seguridad de que se estaba produciendo el acceso indebido a consulta del fichero asnef, sino que fue la puesta en conocimiento por parte de esta Agencia de la denuncia formulada por tales hechos lo que motivó la puesta en marcha de mecanismos para determinar la existencia de ese acceso indebido y localizar al autor del mismo. Por otra parte, debemos reiterar que el artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
26. a)El carácter continuado de la infracción.
27. b)El volumen de los tratamientos efectuados.
28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11
29. d)El volumen de negocio o actividad del infractor.
30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
31. f)El grado de intencionalidad.
32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora." Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el apartado trascrito, y considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: A. El carácter continuado de la infracción no se aprecia en el presente caso toda vez que se ha acreditado una única consulta o acceso indebido a los datos del denunciante (45.4.
36. a)B. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal dentro del sector financiero, puesto que BANKINTER es una empresa que tiene como actividad la prestación de servicios de financieros, tiene importancia a nivel nacional como uno de los principales bancos, y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. (45.4.c). En este sentido, la sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. C. En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio, que excluye la necesidad de aportar elemento probatorio alguno. (45.4.d). D. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien consultó los datos del denunciante en el fichero asno no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 La Audiencia Nacional en su sentencia de 12 de noviembre de 2007 (Red 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia. Extremo este que se evidencia del relato de hechos probados Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.
37. f)F. En lo que respecta a la falta de perjuicios causados al denunciante (apartado 4.h), y en relación con la importancia de la inclusión y mantenimiento de los datos personales en ficheros de morosidad, el tema ha sido tratado en numerosas sentencias por parte de la Audiencia Nacional. Así, reiterar la doctrina que en la sentencia dictada el 16 de febrero de 2002 (recurso 1144/1999), por todas, se recoge: “... la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan,...”. Y hay que recordar la presentación de escritos de reclamación, denuncias, y todas las gestiones a que se ven obligados las personas denunciantes. (45.4.h). G. Por último, los procedimientos implantados no son sólo insuficientes, sino que se revela su falta de efectividad, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.i). En el presente caso, por tanto, teniendo en consideración los criterios arriba señalados de graduación de las sanciones establecidos en el artículo 45.4, en particular, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal (apartado 4.c), el volumen de negocio de la misma, al tratarse de una gran empresa (apartado 4.d), el grado de intencionalidad (apartado 4.f), el perjuicio causado (apartado 4.
38. h)y la ausencia de procedimientos efectivos que hubieran evitado los hechos imputados (45.4.i), procede imponer una multa dentro de la mitad inferior de la escala de infracciones graves de 50.000 € por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANKINTER, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
39. b)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 SEGUNDO: NOTIFICAR la presente resolución a BANKINTER, S.A. y a A.A.A.. D. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es