PS-00195-2015

1/13 Procedimiento Nº PS/00195/2015 RESOLUCIÓN: R/01186/2015 En el procedimiento sancionador PS/00195/2015, instruido por la Agencia Española de Protección de Datos a las entidades BARCLAYS BANK, S.A. y CNP PARTNERS DE SEGUROS Y REASEGUROS, S.A., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 15/04/2014 ha tenido entrada en esta Agencia, escrito presentado por D. A.A.A. (en adelante denunciante) en el que denuncia a la entidad BARCLAYS BANK, S.A.U. (en adelante BARCLAYS) manifestando que dicha entidad ha extraviado diversa documentación en la que constan sus datos personales. Informa que la entidad financiera le concedió un préstamo personal y entre los seguros obligatorios para la concesión del mismo estaba un seguro de vida con protección frente al desempleo. En el Formulario de siniestro por desempleo, en cuyo encabezamiento consta CNP, cumplimentado manuscritamente a nombre del denunciante, consta una relación de Documentación necesaria a presentar y, en concreto, se encuentra marcada la siguiente documentación:  Copia legible del DNI/NIE.  Carta de notificación de despido de la empresa  Desglose de la liquidación e indemnización (…)  En caso de SMAC/JUEZ, Acta de conciliación, Demanda y Sentencia Judicial.  En caso de E.R.E. autorización administrativa y comunicación de la empresa al trabajador.  Carta del INEM/SEPE aceptando el pago de la prestación con el periodo reconocido.  Cuadro de amortización del préstamo (…)  Justificante de titularidad del nº de cuenta bancaria (…). Se detalla en el formulario “La documentación deberá ser original o compulsada por Fedatario u Organismo Público o por la Entidad Bancaria y debe ser remitida a la dirección indicada, o en sobre cerrado y confidencial a través de cualquier oficina de Barclays por valija interna al centro 0943”. También, figura la firma del denunciante, la fecha manuscrita “21-OCTUBRE-13” y sello del BARCLAYS MADRID AG.118 21 OCT 2013. La aseguradora CNP Partners de Seguros y Reaseguros, S.A. anteriormente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 CNP Vida de Seguros y Reaseguros, S.A. (en lo sucesivo CNP) solicita al denunciante según escrito, de fecha 21 de enero de 2014, la siguiente documentación:  Vida laboral actualizada y completa que justifique al menos 30 días en desempleo.  Carta de notificación de despido de la empresa, en papel de la empresa y debidamente firmada y sellada.  Certificado de Empresa y dos últimas nóminas, debidamente firmado y sellado.  Justificante de titularidad del número de cuenta bancaria IBAN donde ingresar las prestaciones (obviar para tarjetas).  En caso de E.R.E., autorización administrativa y comunicación de la empresa al trabajador.  Carta del INEM/SEPE aceptando el pago de la prestación con el periodo reconocido. La directora de la sucursal le comunica que la documentación se había extraviado y tenía que entregar todo de nuevo, se adjunta el mismo Formulario de siniestro por desempleo que anteriormente se ha descrito, con otro sello añadido del BARCLAYS MADRID AG.118 16 ENE 2014. También, consta en el citado Formulario de forma manuscrita en el encabezamiento el texto “Presentada documentación por 2ª vez”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades BARCLAYS y a CNP teniendo conocimiento de que: 1. La entidad BARCLAYS ha informado con fecha de 25 de febrero de 2015, en relación con los hechos comunicados por el denunciante lo siguiente:

1. a)La documentación entregada por el denunciante, con fecha 21 de octubre de 2013, en la agencia número 118, para la tramitación de un siniestro por desempleo se envió a la entidad aseguradora CNP siguiendo el procedimiento establecido a estos efectos, por lo que se desconoce el motivo del extravío.
2. b)Describe el procedimiento para la recepción, custodia, gestión y remisión de la documentación que se entrega en las sucursales para su traslado a la aseguradora CNP:  Los clientes pueden comunicar la existencia de un siniestro en cualquier oficina de la red de sucursales del Banco.  La comunicación se lleva a cabo mediante la presentación del formulario de declaración de siniestro, distinto según tipo de seguro contratado, debidamente cumplimentado.  A fin de poder proceder a una completa validación del siniestro se requiere al cliente la entrega de cierta documentación para su envío a la aseguradora.  Una vez recabada la documentación solicitada se envía copia compulsada de la misma, en sobre cerrado confidencial y por valija interna, al área de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 prestaciones de la aseguradora.  La oficina no conserva copia de la documentación aportada.
3. c)Al tener conocimiento del extravío de la documentación entregada por el denunciante se le requirió nuevamente para que aportase copia de la misma. La documentación se presentó por segunda vez en la oficina, con fecha de 16 de enero de 2014, tramitándose por parte de la entidad el envío a la aseguradora, la cual efectuó los abonos correspondientes a las cuotas del préstamo objeto de cobertura. Asimismo, de conformidad con las políticas y procedimientos de control internos, se dio de alta un evento de riesgo en materia de protección de datos.
4. d)Adicionalmente, a raíz de esta incidencia aislada, se han introducido nuevos controles en el procedimiento para la recepción, custodia, gestión y remisión de la documentación que se entrega en las sucursales para su traslado a las aseguradoras; estableciendo un requisito adicional de confirmación o acuse de recibo formal por parte de la aseguradora en el momento de recepción de la documentación.
5. e)Las medidas de seguridad adoptadas con objeto de la recepción, custodia, gestión y remisión de documentación desde las sucursales a las aseguradoras consisten en el envío de la documentación por valija interna. Dicho servicio se presta por un proveedor de servicios de mensajería y envío de documentación de reconocida solvencia, Correos Express, que presta el servicio de recogida y entrega “puerta a puerta”, para lo cual utiliza furgonetas en las que se transporta exclusivamente documentación de BARCLAYS que permanece cerrada bajo llave durante los trayectos.
6. f)El denunciante presentó reclamación recibida en el Servicio de Atención al Cliente de la entidad, el 29 de enero de 2014, y se dio respuesta, el 25 de marzo de 2014, en el sentido de que “Lamento sinceramente todos los inconvenientes que se le hayan podido ocasionar con la demora en la tramitación de su siniestro por desempleo, pero no hemos podido averiguar los motivos por los que CNP BVP no recibió la documentación que usted entregó en su Oficina de Barclays el pasado mes de Octubre (…)”. 2. La entidad CNP ha informado con fecha de 9 de febrero de 2015, en relación con la documentación que según manifiesta el denunciante fue entregada a BARCLAYS lo siguiente:  La aseguradora no conoce ni está en situación de confirmar si el denunciante entregó o no documentación alguna el 21 de octubre de 2013 a la entidad BARCLAYS como afirma en su denuncia ni a quien fue entregada ni si fue extraviada o no y, en su caso, por quién.  A este respecto, tal y como se hace constar en los propios formularios de siniestro en caso de desempleo, tanto el formulario de solicitud como la documentación del siniestro, debe ser remitida (previa compulsa por BARCLAYS) por el propio asegurado a CNP o, si así se solicita por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13     asegurado, por la misma BARCLAYS a través de valija interna en sobre cerrado y confidencial. La documentación, asumiendo que fuera presentada, es posible que no fuera remitida por BARCLAYS o, que estando el propio denunciante encargado de remitirla, no la remitiese a CNP o la remitiese y fuera extraviada por aquel a quien el denunciante encomendase el envío. La primera documentación relativa al denunciante que recibió CNP fue el formulario de siniestro por desempleo que tuvo entrada, el 20 de enero de 2014, tal y como se aprecia en el sello de entrada plasmado en dicho documento, cuya copia adjuntan. Tal formulario es la declaración registrada con n° ************1 y se hace notar que no es el mismo que el de 21 de octubre de 2013, sellado por la entidad financiera, como puede observarse en la letra manuscrita utilizada o en el formato de la fecha, “21-OCTUBRE-13” y “21.10.2013”. No obstante, la aseguradora no indica a esta AEPD el procedimiento de entrega de la documentación BARCLAYS o personalmente por el denunciante o empresa de servicios. Sin embargo, el mentado formulario no incluía la documentación que se solícita en el mismo, por ello, CNP remitió al denunciante un día más tarde (el 21 de enero de 2014) una carta por la que solicitaba el envío de la información necesaria para tramitar la validación del siniestro. La citada documentación adicional fue recibida por CNP el 29 de enero de 2014, después de haber sido compulsada por BARCLAYS, el 27 de enero de 2014, cuya copia se adjunta. Cuando CNP recibe la documentación de asegurados como el denunciante, bien sea porque es remitida por ellos mismos o porque es enviada por BARCLAYS mediante valija interna, la aseguradora estampa el sello de entrada y es entregada a la Administración de Productos de la aseguradora para su tramitación. Una vez tramitada, la documentación se escanea y anexa en formato digital en el expediente (también digital) del asegurado para llevar el seguimiento de la misma, anotando las cartas remitidas al denunciante y la documentación remitida por al denunciante, cuya impresión se adjunta. TERCERO: Con fecha 6/04/2015, el Director de la Agencia de Protección de Datos acordó iniciar procedimiento sancionador a las entidades BARCLAYS y CNP por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
7. h)de la citada Ley Orgánica, pudiendo ser sancionada con multas de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, con fecha 27/04/2015 se recibe escrito de la entidad CNP comunicando: “…Si los hechos que el Acuerdo de Inicio atribuye a BARCLAYS son realmente atribuibles a esa entidad y no a BOBS, la AEPD debe archivar el Expediente, al menos en lo que respecta a CNP, puesto que ha atribuido responsabilidad a ésta sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 asunción de la existencia de una relación de mediación entre CNP y BARCLAYS que no existe. Si, en realidad, los hechos descritos en el Acuerdo de Inicio son atribuibles a BOBS y fueron atribuidos a BARCLAYS incorrectamente, la AEPD debe anular el Acuerdo de Inicio y archivar el Expediente igualmente…” QUINTO: Así mismo en fecha 30/04/2015 se recibe escrito de BARCLAYS, en el que comunica: <<…Que, tal y como se manifestó en la fase de actuaciones previas, la documentación entregada por el denunciante con fecha 21 de octubre de 2013 en la agencia número 118 de Barclays Bank, S.A.U. para la tramitación de un siniestro por desempleo se envió a la entidad aseguradora por valija interna, siguiendo el procedimiento establecido a estos efectos por ambas entidades, por lo que se desconoce el motivo del extravío. Que el servicio de valija interna se presta por un proveedor de servicios de mensajería y envío de documentación de reconocida solvencia, Correos Express. Dicha compañía presta el servicio de recogida y entrega de la valija “puerta a puerta”, para lo cual utiliza furgonetas en las que se transporta exclusivamente documentación de BARCLAYS BANK, S.A.U. La documentación permanece cerrada bajo llave durante los trayectos. Que, sin perjuicio de lo anterior, Barclays Bank, S.A.U. admite su responsabilidad en la incidencia ocurrida, al no poder acreditar fehacientemente en este caso el envío y recepción de dicha documentación. Que, si bien la infracción cometida es consecuencia de un fallo en los controles establecidos para la remisión de la documentación que se entrega en las sucursales de Barclays Bank, S.A.U. para su traslado a la aseguradora CNP Partners de Seguros y Reaseguros, S.A., y pese al elevado volumen de documentación manejada a estos efectos, se trata de una incidencia fortuita y aislada, que no ha reportado beneficio alguno al Banco y que fue subsanada sin demora indebida en cuanto esta entidad tuvo conocimiento de dicho error, no habiéndose ocasionado ningún perjuicio por este motivo al denunciante. Adicionalmente, a raíz de este fallo, se han introducido nuevos controles en el procedimiento establecido entre ambas entidades para la recepción, custodia, gestión y remisión de la documentación de los asegurados; estableciendo un requisito adicional de confirmación o acuse de recibo formal por parte de la aseguradora en el momento de recepción de la documentación. SOLICITA: Que teniendo por presentado este escrito, se sirva admitirlo, tenga por hechas las alegaciones contenidas en el mismo y dicte resolución en aplicación de lo establecido en el artículo 8 del Real Decreto 1398/1 993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora; aplicando, para el establecimiento de la cuantía de la sanción, la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, de conformidad con lo previsto en el artículo 45.5, letras a),
8. b)y
9. d)de la Ley 15/1 999, de 13 de diciembre, de protección de datos de carácter personal…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 HECHOS PROBADOS PRIMERO: Con fecha 15/04/2014 ha tenido entrada en esta Agencia, escrito presentado por el denunciante en el que denuncia a la entidad BARCLAYS manifestando que dicha entidad ha extraviado diversa documentación en la que constan sus datos personales. Informa que la entidad financiera le concedió un préstamo personal y entre los seguros obligatorios para la concesión del mismo estaba un seguro de vida con protección frente al desempleo. En el Formulario de siniestro por desempleo, en cuyo encabezamiento consta CNP, cumplimentado manuscritamente a nombre del denunciante, consta una relación de Documentación necesaria a presentar y, en concreto, se encuentra marcada la siguiente documentación:  Copia legible del DNI/NIE.  Carta de notificación de despido de la empresa  Desglose de la liquidación e indemnización (…)  En caso de SMAC/JUEZ, Acta de conciliación, Demanda y Sentencia Judicial.  En caso de E.R.E. autorización administrativa y comunicación de la empresa al trabajador.  Carta del INEM/SEPE aceptando el pago de la prestación con el periodo reconocido.  Cuadro de amortización del préstamo (…)  Justificante de titularidad del nº de cuenta bancaria (…). Se detalla en el formulario “La documentación deberá ser original o compulsada por Fedatario u Organismo Público o por la Entidad Bancaria y debe ser remitida a la dirección indicada, o en sobre cerrado y confidencial a través de cualquier oficina de Barclays por valija interna al centro 0943”. También, figura la firma del denunciante, la fecha manuscrita “21-OCTUBRE-13” y sello del BARCLAYS MADRID AG.118 21 OCT 2013. La aseguradora CNP Partners de Seguros y Reaseguros, S.A. anteriormente CNP Vida de Seguros y Reaseguros, S.A. (en lo sucesivo CNP) solicita al denunciante según escrito, de fecha 21 de enero de 2014, la siguiente documentación:  Vida laboral actualizada y completa que justifique al menos 30 días en desempleo.  Carta de notificación de despido de la empresa, en papel de la empresa y debidamente firmada y sellada.  Certificado de Empresa y dos últimas nóminas, debidamente firmado y sellado.  Justificante de titularidad del número de cuenta bancaria IBAN donde ingresar las prestaciones (obviar para tarjetas).  En caso de E.R.E., autorización administrativa y comunicación de la empresa al trabajador.  Carta del INEM/SEPE aceptando el pago de la prestación con el periodo reconocido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 La directora de la sucursal le comunica que la documentación se había extraviado y tenía que entregar todo de nuevo, se adjunta el mismo Formulario de siniestro por desempleo que anteriormente se ha descrito, con otro sello añadido del BARCLAYS MADRID AG.118 16 ENE 2014. También, consta en el citado Formulario de forma manuscrita en el encabezamiento el texto “Presentada documentación por 2ª vez” (folios 1 a 7). SEGUNDO: A lo largo del procedimiento BARCLAYS, ha comunicado: <<…Que, tal y como se manifestó en la fase de actuaciones previas, la documentación entregada por el denunciante con fecha 21 de octubre de 2013 en la agencia número 118 de Barclays Bank, S.A.U. para la tramitación de un siniestro por desempleo se envió a la entidad aseguradora por valija interna, siguiendo el procedimiento establecido a estos efectos por ambas entidades, por lo que se desconoce el motivo del extravío. Que el servicio de valija interna se presta por un proveedor de servicios de mensajería y envío de documentación de reconocida solvencia, Correos Express. Dicha compañía presta el servicio de recogida y entrega de la valija “puerta a puerta”, para lo cual utiliza furgonetas en las que se transporta exclusivamente documentación de BARCLAYS BANK, S.A.U. La documentación permanece cerrada bajo llave durante los trayectos. Que, sin perjuicio de lo anterior, Barclays Bank, S.A.U. admite su responsabilidad en la incidencia ocurrida, al no poder acreditar fehacientemente en este caso el envío y recepción de dicha documentación. Que, si bien la infracción cometida es consecuencia de un fallo en los controles establecidos para la remisión de la documentación que se entrega en las sucursales de Barclays Bank, S.A.U. para su traslado a la aseguradora CNP Partners de Seguros y Reaseguros, S.A., y pese al elevado volumen de documentación manejada a estos efectos, se trata de una incidencia fortuita y aislada, que no ha reportado beneficio alguno al Banco y que fue subsanada sin demora indebida en cuanto esta entidad tuvo conocimiento de dicho error, no habiéndose ocasionado ningún perjuicio por este motivo al denunciante. Adicionalmente, a raíz de este fallo, se han introducido nuevos controles en el procedimiento establecido entre ambas entidades para la recepción, custodia, gestión y remisión de la documentación de los asegurados; estableciendo un requisito adicional de confirmación o acuse de recibo formal por parte de la aseguradora en el momento de recepción de la documentación…>> (folio 356 y 357). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
10. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 II El artículo 8 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” IV El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 92. Gestión de soportes y documentos, establece: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Igualmente los artículos 106 y 108 del citado Real Decreto, establecen: “Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo.” “Custodia de los soportes. Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.” V En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben asegurar la localización de los documentos que contengan datos personales. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). VI El artículo 44.3.
11. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. VII El artículo 45.1, 2, 4 y 5 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
12. a)El carácter continuado de la infracción.
13. b)El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La Audiencia Nacional, en sus Sentencias de 24/05/2002 y 16/02/2005, ha señalado en cuanto a la aplicación del apartado 5 del citado precepto que “... la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 cuando se den suficientes circunstancias para ello. En el supuesto examinado, BARCLAYS solicita se reduzca la sanción por aplicación de lo dispuesto en el citado artículo 45.5 apartados a),
27. b)y
28. d)de la LOPD. Atendiendo a las circunstancias expresadas, que han quedado acreditadas en este caso, cabe apreciar que las mismas suponen una disminución cualificada de la culpabilidad y de la antijuridicidad con entidad suficiente para la aplicación de lo dispuesto en el citado artículo 45.5 de la LOPD, estableciendo la sanción según la escala prevista para las infracciones leves. Por otra parte, teniendo en cuenta los criterios de graduación de las sanciones recogidos, en el citado artículo 45.4 de la LOPD y, en especial, la ausencia de intencionalidad y de reincidencia acreditadas procede imponer a BARCLAYS una sanción por importe de 3.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BARCLAYS BANK, S.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
29. h)de dicha norma, una multa de 3.000 euros (tres mil euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. SEGUNDO: EXONERAR de responsabilidad a CNP PARTNERS DE SEGUROS Y REASEGUROS, S.A., por los hechos imputados en el presente procedimiento sancionador. TERCERO: NOTIFICAR la presente resolución a BARCLAYS BANK, S.A., a CNP PARTNERS DE SEGUROS Y REASEGUROS, S.A. y a D. A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es