1/8 Procedimiento Nº PS/00166/2013 RESOLUCIÓN: R/02216/2013 En el procedimiento sancionador PS/00166/2013, instruido por la Agencia Española de Protección de Datos a la entidad BANCO DE VALENCIA, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 09/01/2012 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo la denunciante), en el que declara que Banco de Valencia (en lo sucesivo BDV), ha facilitado a su ex marido extractos bancarios que posteriormente han sido aportados por este último en un juicio. La reclamante aporta movimientos en la cuenta ***CCC.1entre las fechas 08/02/2011 y 18/11/2011, así como entre las fechas 19/12/2005 y 01/06/2006, impresas estas últimas en fecha 09/12/2011. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos: Según indican los representantes de BDV, en fecha 25/09/1998 se apertura cuenta de ahorro en la que como única titular aparece la denunciante. Con fecha 05/05/2003, se firma ante el Notario D. B.B.B., con número **** de su protocolo, una escritura de Préstamo Hipotecario, donde se indica en la Primera Cláusula Financiera, que la denunciante y D. C.C.C. (en lo sucesivo ex marido), intervienen con carácter solidario y como parte prestataria y reciben el importe del citado préstamo, que quedó ingresado en la cuenta n° ***CCC.1 a nombre de "la parte prestataria", cuenta en la que se han realizado los cargos de cuotas del préstamo así como las disposiciones de dicho préstamo.. Del mismo modo, con fecha 06/04/2004, se firma escritura de Ampliación de Préstamo Hipotecario y Disposición del Nuevo Importe mediante Certificaciones de Obra, ante el Notario D. D.D.D. interviniendo como prestatarios solidarios y figurando como cuenta vinculada de nuevo la n°***CCC.2. Según manifiestan los representantes de la entidad: “Las disposiciones del préstamo están firmadas por el ex marido, en dichas disposiciones consta el abono en la cuenta ***CCC.2, por lo tanto en su condición de prestatario el ex marido, era conocedor de los movimientos de la citada cuenta, y la denunciante por tanto conocedora de la situación de apoderamiento del mismo”. “La entrega de información al ex marido, de dicha cuenta, se realizó en base a que estaba autorizado en la misma por las razones antes indicadas. Causando baja como autorizado en el mismo momento que la denunciante lo comunica a la sucursal. Siendo desde ese momento, la única titular de la misma, sin ningún apoderado”. “Dicha baja fue solicitada a la oficina en el 14/12/2011, firmando la denunciante un documento el cual se adjunta como documentos número 5”. “La información facilitada al ex marido tiene su fundamento que era apoderado de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 cuenta, además de que su interés deriva también del hecho de que pretendía acreditar los ingresos que había efectuado en concepto de pensión de alimentos a la que, al parecer venia obligado, dados los procesos judiciales en los que según nos comunica la denunciante están implicados, Dicha información se hubiese proporcionado de la misma forma por mandamiento judicial por contener tanto los ingresos de pensión, como los justificantes de entregas para el pago del préstamo común”. No obstante, en el documento contractual de apertura de la cuenta de ahorros, de fecha 25/09/1998, solamente figura como titular la denunciante. No consta ninguna otra persona en la condición de titular, autorizado o apoderado. Además, en la declaración del ex marido en sede judicial, de fecha 12/12/2011, se señala: “Aporta extracto de movimientos para acreditar las transferencias”, lo que viene a confirmar lo manifestado por la denunciante de que se le han aportado los datos y extractos bancarios de su cuenta. TERCERO: Con fecha 8 de abril de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BDV, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BDV mediante escrito de fecha 14/05/2013, formuló en síntesis las siguientes alegaciones: Que se ratificaban en la respuesta dada a la solicitud de información previa al inicio del procedimiento. Que si bien en el documento apertura de cuenta de ahorro figura como titular la denunciante, el mismo recoge la baja como autorizado de su ex marido, por lo que si existió la baja es porque previamente se había producido el alta; que resulta relevante a fin de acreditar dicho poder la escritura de constitución de préstamo hipotecario. Que en ningún caso puede cuestionarse la autenticidad, veracidad y validez de una escritura pública. Que BDV facilitó al ex marido de la denunciante información en calidad de apoderado de la cuenta que además era la receptora y cuenta de pago de un préstamo hipotecario. QUINTO: Con fecha 03/06/2013, se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/02540/2012. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00166/2013 presentadas por BDV. Solicitar a BDV acreditación documental del alta y aceptación como autorizado del ex marido de la denunciante, en la cuenta nº ***CCC.2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Solicitar a la denunciante copia de la documentación que obrara en su poder relativa al procedimiento sancionador PS/00166/2013 que por cualquier motivo no hubiera sido aportada en el momento de la denuncia ó cualquier otra manifestación en relación con los hechos denunciados. Asimismo, se le solicita copia de la copia simple de la escritura de préstamo hipotecario otorgada en Valencia el 05/05/2003. En fecha 12/06/2013, la denunciante dio respuesta a la prueba practicada cuyo contenido obra en el expediente. SEXTO: En fecha 21/08/2013, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a BDV por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. Transcurrido el plazo concedido para formular alegaciones, la representación de la entidad no había presentado escrito alguno. HECHOS PROBADOS PRIMERO. En fecha 09/01/2012, tuvo entrada en esta Agencia escrito de la afectada en el que denuncia a BDV por dar los datos de su cuenta, así como extractos bancarios a su ex marido, después de reiterarles que no lo hicieran (folio 1). SEGUNDO. Consta copia del DNI de la denunciante, domiciliada en C/ (C/........................1) (Valencia) (folios 10 y 11). TERCERO. La denunciante ha aportado copia del documento contractual de apertura de Cuentas de Ahorro nº ***CCC.2, suscrito por la denunciante con BDV, en fecha 25/09/1998. Como titular único figura la denunciante (folios 23 y 24). CUARTO. Consta aportada la baja como autorizado del ex marido de la denunciante en el documento contractual de apertura de cuenta, Cuentas de Ahorro nº ***CCC.2, figurando su condición de divorciada, y a continuación de la firma de los intervinientes, con fecha 14/11/2010, se señala “HA FECHA DE HOY CAUSA BAJA COMO AUTORIZADO E.E.E. CON NIF: ***NIF.1. En breve se remitirá doc. en donde se autorizó en su día, fecha de apertura de la cuenta” (folios 122 y 123). QUINTO. En periodo probatorio, en fecha 03/06/2013, se le requirió a BDV que acreditara documentalmente el alta y aceptación como autorizado del ex marido de la denunciante, en la cuenta nº ***CCC.2; la entidad crediticia no respondió al requerimiento efectuado (folio 152). SEXTO. Consta e-mail de la denunciante, de fecha 14/12/2011, enviado a BDV en el que se indica “Se han facilitado mis datos y movimientos bancarios a mi ex marido (desde 2006) que se supone que es apoderado de mi cuenta, de la que yo solo soy titular, contrato que tengo en mi poder y en ningún lugar especifica este dato. Es más he pedido reiteradamente en la urbana 14 que dejaran de hacer este tipo de actos y jamás me han informado de este hecho insólito, cuando saben que estamos en procesos judiciales ya que le he requerido mucha documentación. Se de este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 hecho porque han presentado mis datos y cuentas como pruebas en un juicio. Quiero firmemente denunciar esta situación, que viola el derecho a la protección de datos, a la intimidad y podría tener consecuencias judiciales” (folio 124). SEPTIMO. Consta Declaración del ex marido de la denunciante, de fecha 12/12/2011, ante el Juzgado de Primera Instancia e Instrucción nº 2 de Moncada (Valencia), al que se le imputaba un delito de impago de pensiones. En la citada comparecencia se indica “Aporta extracto de movimientos para acreditar las transferencias” (folio 164 a 166). Consta Extracto de Movimientos de la cuenta titularidad de la denunciante, aportada por su ex marido en la declaración en comparecencia ante el Jugado, que le fue facilitada el 09/12/2011, por la sucursal de BDV donde se halla abierta la cuenta y, donde figuran recogidos las operaciones de la citada cuenta desde el 01/01/2006 al 31/12/2006 (folio 7). Asimismo, se aporta consulta de movimientos de la cuenta titularidad de la denunciante, facilitada por la sucursal de BDV donde se halla abierta la cuenta y, donde figuran recogidos las operaciones de la citada cuenta desde el 01/02/2011 al 30/11/2011(folio 6). OCTAVO. Consta aportada escritura de préstamo hipotecario formalizada ante el notario de Valencia D. B.B.B., el 05/05/2003, interviniendo BDV y la denunciante y su ex marido, en condición de prestatarios. En la citada escritura se señala en sus Clausulas Financieras “que en relación con las obligaciones dimanantes de esta escritura intervienen con carácter solidario (en adelante la parte prestataria), ha recibido de Banco de Valencia, S.A. en concepto de préstamo la cantidad de…, que ha quedado ingresada en la cuenta nº ***CCC.2, a nombre de la parte prestataria en la oficina urbana Torrefiel
(0182), de Banco de Valencia,S.A. (folio 25 y 29 ). Posteriormente, se formaliza ante el notario de Valencia D. D.D.D., escritura de Ampliación de préstamo hipotecario en Valencia, el 06/04/2004, en la que intervienen Banco de Valencia y la denunciante y su ex marido, como prestatarios, indicándose que “…que en relación con las obligaciones dimanantes de esta escritura intervienen con carácter solidario como prestatarios, la cantidad de …, cantidad que reciben a su entera satisfacción, mediante su ingreso en la cuenta número ***CCC.1 abierta en la Oficina urbana Torrefiel de Banco de Valencia, S.A.” (folios 67 y 72). NOVENO. BDV no ha acreditado que hubiese obtenido el consentimiento o autorización de de la denunciante, titular única de la cuenta, para la revelación de sus datos personales, ni que exista norma legal que justifique dicha revelación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala en su Disposición Transitoria Quinta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor.” La Disposición Final Segunda determina:”El presente real decreto entrará en vigor a los tres meses de su íntegra publicación en el “Boletín Oficial del Estado”. Habiéndose publicado el mismo el 19/01/2008, el citado R. D. por el que se aprueba el Reglamento de desarrollo de la LOPD, entró en vigor el 19/04/2008. En su artículo 126, se señala: “1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. El artículo 122, señala que: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 de procedimiento sancionador producirá la caducidad de las actuaciones previas. (El subrayado es de la Agencia Española de Protección de Datos). III A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas transcurridos más de doce meses desde que tuvo entrada en la Agencia la denuncia del afectado, hasta la notificación del acuerdo de inicio del procedimiento sancionador. Es necesario señalar que en el presente caso resulta de aplicación el plazo máximo de doce meses de duración establecido en el artículo 122 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece para la realización de dichas actuaciones previas, tomando en consideración que tal norma reglamentaria es de aplicación a actuaciones iniciadas con posterioridad a su entrada en vigor (es decir, a partir del 19 de abril de 2008). Con fecha 09/01/2012 tuvo entrada en esta Agencia Española de Protección de Datos la denuncia de la afectada, acompañada de los extractos bancarios entregados a su ex marido por BDV, sin su consentimiento. Con fecha 07/03/2012 se acordaba no incoar actuaciones inspectoras y no iniciar procedimiento sancionador. Notificada la resolución a la denunciante e interpuesto recurso potestativo de reposición el 30/03/2012, el Director de la AEPD resolvía con fecha 23/04/2012, estimar el mismo y ordenaba realizar las correspondientes investigación en el marco del expediente de actuaciones previas E/02540/2012. Realizadas las actuaciones previas de investigación, mediante resolución del Director de AEPD de 08/04/2013, se acordó iniciar procedimiento sancionador a BDV, siendo notificado tal acuerdo el 10/04/2013. El articulo 122.4 anteriormente citado establece como plazo de duración máxima de las actuaciones previas el de doce meses a contar desde la fecha en que la denuncia o petición razonada hubieran tendido entrada en al AEPD o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones, y hasta la fecha en que haya sido dictado y notificado el acuerdo de inicio de procedimiento sancionador, produciéndose la caducidad de las actuaciones previas si su duración excediera de aquel plazo. En el presente caso, el termino inicial (dies a quo) para el computo del plazo de caducidad de las actuaciones previas de investigación viene determinado por la fecha de presentación de la denuncia en la AEPD, el 09/01/2012, con independencia de que no fuera atendida inicialmente; siendo el término final (dies ad quem), la fecha en que se notificó a BDV el acuerdo de inicio del procedimiento sancionador PS/00163/2013, siendo evidente que las actuaciones habían caducado ya en esa fecha, el 10/04/2013, al haber transcurrido el plazo de un año desde la entrada de la denuncia, por lo que debieron ser archivadas, sin que proceda entrar en el resto de cuestiones que versan sobre el fondo del asunto. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 19/07/2013 que señala: “Pues bien, existiendo en el presente supuesto denuncia del afectado que dio origen a las actuaciones administrativas que desembocaron en la incoación del expediente sancionador PS/00441/2011 contra BANCO SANTANDER, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 S.A. y, finalmente, en la resolución sancionadora recurrida, resulta evidente que el "dies a quo" para el cómputo del plazo de caducidad de las actuaciones previas de investigación, viene determinado por la fecha de presentación de tal denuncia, con independencia de que no fuera atendida inicialmente. El hecho de que tras la denuncia se acordara por el Director de la Agencia Española de Protección de Datos no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, para a continuación, en respuesta al recurso de reposición formalizado por el denunciante contra tal acuerdo, resolver su estimación y la ordenar a la Subdirección General de Inspección de Datos que se procediera a realizar actuaciones de inspección, no enerva aquella conclusión. Sentado lo anterior y no existiendo controversia acerca de la fecha que debe operar como "dies ad quem" en este caso, el 17 de octubre de 2011, fecha de notificación al denunciado de la resolución que acordó iniciar procedimiento sancionador a BANCO SANTANDER, S.A., resulta patente que las actuaciones previas de investigación habían caducado ya en esta fecha, por lo que debieron ser archivadas y no resultaban susceptibles de sustentar la incoación del citado procedimiento sancionador”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador seguido contra la entidad BANCO DE VALENCIA, S.A., por la presunta vulneración del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma y ordenar a la Subdirección General de Inspección de Datos de esta Agencia que proceda a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/05441/2013, al no haber prescrito la presunta infracción cometida. SEGUNDO: NOTIFICAR la presente resolución a BANCO DE VALENCIA, S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es