PS-00211-2021

1/66  Expediente Nº: PS/00211/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en consideración a los siguientes ANTECEDENTES PRIMERO: D. ª A.A.A., con NIF ***NIF.1 (en lo sucesivo, la reclamante), con fecha 7 de enero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) contra BANKIA, S.A., con NIF A14010342. En virtud del acuerdo de fusión por absorción suscrito entre BANKIA, S.A., como entidad absorbida, y CAIXABANK, S.A., con NIF A0866***CUENTA.119, como entidad absorbente, inscrito en el Registro Mercantil el 26 de marzo de 2021, esta última (en adelante la reclamada) se subrogó en la posición jurídica de la primera. La reclamante basa su reclamación en el tratamiento que la entidad reclamada ha efectuado de sus datos personales, sin su conocimiento ni consentimiento, con ocasión de la celebración de un contrato de cuenta corriente suscrito a su nombre en el que también figuraron como contratantes y cotitulares de la cuenta dos personas físicas más. Estima que la reclamada permitió que un tercero, B.B.B., actuara en su representación y celebrara en su nombre un contrato dando por válido y suficiente para ese acto el poder que el tercero exhibió; poder que la reclamante considera que no le habilitaba para intervenir en su representación en un negocio jurídico de las características del que celebró con la reclamada. La reclamante otorgó el 1 de octubre de 2010 a favor B.B.B., (el tercero) un poder general que le facultaba para representarla en distintos actos, entre otros “abrir cuentas corrientes o de crédito”, pero en el documento notarial se advertía que la representación otorgada estaba circunscrita, exclusivamente, a los bienes relacionados e integrados en la ***COMUNIDAD DE BIENES.1 y dos más, C.B.” La reclamante ha aportado el informe emitido el 21 de diciembre de 2020 por el Departamento de Conducta de Entidades del Banco de España en respuesta a la reclamación que ella formuló ante ese órgano regulador después de haberse dirigido al Servicio de Atención al Cliente (SAC) de la reclamada. El informe dice en el punto IV, “Conclusión”: “[...] Bankia atendió la instrucción del representante de la reclamante para incluirla como cotitular en una cuenta, pero la entidad no acredita que se presentara un poder que otorgara facultades para ello. [...]” (El subrayado es nuestro) En el apartado III, “Opinión del Departamento” se ofrece la siguiente argumentación: “La cuenta con numeración finalizada en ***CUENTA.1 fue abierta el 26/07/20 a nombre de tres C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/66 personas físicas distintas, entre ellas la reclamante[...]. La entidad afirma que [la reclamante] actuó representada por su padre, D. B.B.B., y que éste disponía de poder suficiente al efecto. [La reclamante] señala que el poder conferido amparaba la apertura de la cuenta. Lo que consta es copia de escritura otorgada el 01/10/10 según la cual la reclamante, [...], otorgó poder general a su padre, D. B.B.B., incluyendo la facultad de abrir cuentas corrientes, “SOLO Y EXCLUSIVAMENTE CON LOS BIENES RELACIONADOS E INTEGRADOS EN LA ***COMUNIDAD DE BIENES.1 Y DOS MÁS C.B”. Así pues, [la reclamada] admitió el poder conferido, que sólo era válido en relación con determinados bienes de ***COMUNIDAD DE BIENES.1 y Dos Más C.B, para que D. B.B.B., actuando en representación de su hija [la reclamante], la incluyera como titular en una cuenta en la que también figuraban otras dos personas físicas. Es decir, que se trataba de una cuenta cuya titularidad no correspondía a la comunidad de bienes antes mencionada. [...] En consecuencia, consideramos que en la actuación de la entidad se ha producido vulneración de las buenas prácticas financieras, al no haber actuado con la diligencia exigible en defensa de los intereses de su cliente en la medida en que Bankia atendió la instrucción del representante de la reclamante para incluirla como cotitular en una cuenta, pero no consta que el poder aportado fuera suficiente para amparar dicha actuación.” SEGUNDO: A la vista de la reclamación, conforme a lo dispuesto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos de carácter personal y garantía de los derechos digitales (LOPDGDD), la AEPD da traslado de ella a la reclamada en fecha 16 de febrero de 2021 para que en el plazo de un mes facilite una explicación sobre los hechos denunciados, detalle las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares y proceda también a comunicar su decisión a la reclamante. El 12 de marzo de 2021 se recibe la respuesta del Delegado de Protección de Datos (DPD) de la reclamada en la que expone las actuaciones llevadas a cabo por la entidad y las conclusiones obtenidas. El informe comienza diciendo: “La reclamación de Dª. [la reclamante] se basa en la supuesta vulneración de sus derechos por parte de Bankia al permitir a un tercero (D. B.B.B.), padre de la reclamante, la contratación de una cuenta corriente a su nombre haciendo uso de un poder notarial que cuestiona que le otorgase representación para ello. [...]” El DPD concluye “[...] Que no ha quedado, por tanto, acreditado que haya existido vulneración en materia de protección de datos tratándose la reclamación presentada ante el Banco de España de una cuestión ajena a esta normativa como es la contratación a nombre de la Sra. [la reclamante] por parte de un tercero haciendo uso de un poder notarial que se cuestiona le otorgara las facultades necesarias para ello. Y en este sentido se ha contestado al reclamante, aportándose copia de dicha comunicación como documento nº2.” (El subrayado es nuestro) Aporta con su respuesta estos documentos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/66 (

1. i)Carta que el SAC de BANKIA dirige a la reclamante, de fecha 10 de marzo de 2021, con la que le traslada su respuesta frente al informe emitido por el Departamento de Conducta de Entidades del Banco de España referente a su reclamación R***REFERENCIA.1. (
2. ii)Carta que el DPD dirige a la reclamante el 12 de marzo de 2021 en la que le comunica que la AEPD le ha dado traslado de su reclamación y le indica que el SAC procedió el día 10 de marzo de 2021 a remitirle los apuntes de la cuenta corriente correspondientes a los días 26 y 27 de julio de 2018. TERCERO: El 4 de mayo de 2021 la Directora de la AEPD dicta resolución admitiendo a trámite la reclamación formulada. De conformidad con el artículo 65.5 de la LOPDGDD, el acuerdo de admisión a trámite se notificó a la reclamante y consta recibido por ella el 5 de mayo de 2021. CUARTO: Con fecha 18 de junio de 2021 la Directora de la AEPD acuerda iniciar procedimiento sancionador a la reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD en relación con el artículo 5.1.a), tipificada en el artículo 83.5.
3. a)del RGPD. QUINTO: Alegaciones al acuerdo de inicio. Notificado el acuerdo de iniciación del procedimiento sancionador, la reclamada presenta sus alegaciones el 2 de julio de 2021 en las que solicita que se declare la nulidad de pleno Derecho del procedimiento por los motivos que detalla en la alegación primera de su escrito. Subsidiariamente, que se acuerde el archivo del procedimiento por inexistencia de infracción de la normativa de protección de datos de carácter personal. Y, con carácter subsidiario respecto a las anteriores pretensiones, que se le aperciba (artículo 58.2.b, RGPD) o, en su defecto, se reduzca significativamente la cuantía de la multa prevista en el acuerdo de apertura. En apoyo de sus respectivas pretensiones invoca estos argumentos: 1.La alegación primera lleva por rúbrica “De la indefensión producida a mi mandante como consecuencia de la fijación del importe de la sanción en el acuerdo de inicio”. Expone en este apartado que el acuerdo de apertura adolece de un “vicio radical”, derivado de una interpretación de los artículos 64 y 85 de la LPACAP contraria a la Constitución, que determina la nulidad del procedimiento, a tenor del artículo 47.1.
4. a)LPACAP. A su juicio el acuerdo de apertura se encuentra viciado de nulidad, de una parte, por la indefensión total y absoluta que le ha generado que la AEPD haya fijado en él el importe de la sanción, en lugar de expresar solo los límites de la posible sanción; porque a través del acuerdo de inicio se ha hecho una valoración de su culpabilidad “in audita parte”, valoración carente de motivación y en la que incluso se han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/66 mencionado las atenuantes y agravantes que concurren. Por otra, el vicio de nulidad deriva de la ruptura del principio de separación entre la fase de instrucción y de sanción, principio consustancial al Derecho Penal y aplicable al Derecho Administrativo sancionador de acuerdo con la doctrina del Tribunal Constitucional (SSTC 8/1981, de 8 de junio; 54/2015, de 16 de marzo; y 59/2014, de 5 de mayo). El principio de la separación entre las fases de instrucción y de resolución se habría vulnerado, dice la reclamada, porque el acuerdo de inicio ha afectado sustancialmente a la imparcialidad del órgano instructor y le ha privado de un conocimiento objetivo de los hechos, ya que, antes de que inicie su labor instructora, el órgano instructor ha conocido cuál es el criterio del órgano sancionador, al que elevará el expediente para la imposición de la sanción que “pudiera corresponder”, órgano con el que, además, mantiene una relación de dependencia jerárquica. Respecto al artículo 85 de la LPACAP, entiende que es aplicable solo a aquellos casos en los que “la norma sancionadora impone una multa de carácter fijo y objetivo por la comisión de una infracción”. A lo que añade que el acuerdo de apertura no ha respetado el tenor literal del precepto -según el cual podrá determinarse la cuantía de la sanción “iniciado” el procedimiento sancionador- por lo que excede de su previsión asimilando “el acto mismo de la iniciación con el hecho de que el procedimiento se encuentre iniciado”. 2. La alegación segunda versa sobre la licitud de su conducta. La reclamada defiende la licitud de su conducta sobre la base de una “conclusión” a la que, según dice, esta Agencia llegó en el acuerdo de apertura del procedimiento. De este modo, los argumentos que invoca en defensa de la licitud de su actuación giran en torno a una “conclusión” que nos atribuye y no tienen otra finalidad que desvirtuarla. Así, manifiesta que el órgano sancionador “concluye, que, en base al poder notarial otorgado, que adjuntamos [...], mi mandante debería haber abierto una cuenta a nombre de la Comunidad de Bienes a la que pertenecía [...] la reclamante, en lugar de abrir una cuenta a nombre de la reclamante, y que tal actuación supone una infracción del articulo 6.1 RGPD al no existir una base de licitud para el tratamiento de los datos de la reclamante, además de considerar que tal actuación supone una palmaria falta de diligencia en la actividad que le es propia.” (El subrayado es nuestro) Tras esta aseveración que atribuye a la Agencia expone los motivos por los que disiente de ella y en los que funda su impugnación. Transcribimos los siguientes párrafos de su alegato: “Mi mandante no puede estar más en desacuerdo con dichas aseveraciones, y ello, de acuerdo con los propios términos del poder otorgado, que resultan meridanamente claros en relación con la voluntad de la poderdante, que otorga un poder que faculta al apoderado para abrir cuentas en establecimientos en su nombre y representación, actuación que llevó a cabo la oficina bancaria una vez exhibido oportunamente el documento que nos ocupa.” “Justamente, y de manera obvia, la falta de diligencia resultaría imputable en el supuesto de haber abierto una cuenta a nombre de la Comunidad de Bienes, puesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/66 que no se trata de un poder notarial otorgado por la Comunidad de Bienes para llevar a cabo dicha actuación en su nombre; resulta evidente que mi mandante no puede aperturar una cuenta en nombre de una Comunidad de Bienes, constituida por varios comuneros, sin un poder otorgado por ellos en tal sentido.” “Como es de ver, la actuación de mi mandante se ciñó estrictamente a los términos del poder otorgado, puesto que actuó estrictamente de acuerdo con la delegación de facultades otorgada en su momento por la reclamante.” Seguidamente, tomando como premisa mayor de su argumentación la conclusión que atribuye a la AEPD, hace los siguientes razonamientos: -Sobre su actuación diligente: Comienza indicando que, a tenor del poder notarial, los únicos “socios” integrantes de la comunidad de bienes junto con la reclamante eran sus hermanos D.D.D. y E.E.E. Añade que los titulares de la cuenta coinciden con los comuneros integrantes de la comunidad de bienes. Y, a continuación, concluye: “por lo que justamente sí existe diligencia por parte de mi mandante: el apoderado debidamente facultado para ello abre una cuenta en nombre y representación de la reclamante, siendo que los otros cotitulares son los dos otros integrantes de la Comunidad de Bienes”. (El subrayado es de la AEPD) -Sobre el poder otorgado: Argumenta que el poder recoge una “limitación de facultades para el apoderado:”; que es “un poder limitativo dirigido al apoderado, no a mi mandante (o cualquier otra entidad bancaria, o cualquier tercero ajeno al poder).” Añade que “en ningún lugar del poder la reclamante ha hecho constar la indicación o instrucción expresa de que la gestión del mandato se realice a través de una cuenta abierta a nombre de la Comunidad de Bienes.” “Y una instrucción en tal sentido entendemos que sería muy discutible si efectivamente concierne a la entidad bancaria) es el apoderado el responsable de cumplir con el mandato conferido, no mi mandante. Es decir, es al apoderado, de manera exclusiva y excluyente, a quien atañe dar cumplimiento al mandato representativo otorgado, y a quien le compete responder ante el poderdante y rendir cuentas de su gestión.” A propósito del poder que el tercero exhibió ante la reclamada, dice que “La reclamante al otorgar dicho poder confiere su expresa autorización y su consentimiento para aperturar cuentas corrientes en su nombre, como es el hecho que nos ocupa, resultando el correspondiente tratamiento de sus datos para finalidades legítimas como la ejecución de la relación contractual o el cumplimiento de las obligaciones normativas exigibles a mi mandante, resultando el tratamiento lícito, leal y transparente.” -Sobre el bastanteo del poder manifiesta que, “como todas las entidades financieras, tienen una interlocución habitual y directa con los apoderados y poderes de representación”, “cuenta con un procedimiento de bastanteo de poderes robusto y eficaz, destinado a analizar y verificar que las personas que actúan bajo un mandato representativo lo hacen con poder bastante y suficiente.” Adjunta como documento anexo tres una “guía de bastanteo” que es utilizada por la entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/66 -Respecto al informe emitido por el Departamento de conducta de entidades del Banco de España, que se pronuncia sobre la insuficiencia del poder que el tercero exhibió ante la reclamada, dice que es competencia de los Tribunales de Justicia “la interpretación y decisión sobre la suficiencia de un poder notarial de representación, las especificaciones del mandato y las facultades conferidas.” -Respecto a la competencia de esta AEPD para conocer de la controversia planteada, considera que es manifiesto que esta controversia “excede del ámbito competencial de la AEPD” pues la cuestión de fondo versa sobre un “aspecto del derecho no consagrado en la normativa de protección de datos”, por lo que, en su opinión, su resolución debería instarse ante los tribunales de justicia. 3. Su alegación tercera se refiere a las circunstancias que la AEPD ha apreciado en aras a graduar el importe de la sanción de multa. 3.1. Con carácter previo, expone que resulta evidente que la sanción que consta en el acuerdo de apertura estaba “predeterminada”. Que, para la Agencia, las circunstancias que concurren en el caso concreto son “irrelevantes”, pues su presencia es “meramente accesoria” para fijar la sanción. Llama la atención sobre el hecho de que la sanción de 60.000 euros que, dice, la Agencia coincide en imponer para cualquier infracción del artículo 6.1 del RGPD “que no merezca un reproche sancionador especialmente elevado”, suele estar acompañada de un gran número de agravantes y de ninguna atenuante. Por el contrario, en el asunto que nos ocupa, en el que se ha fijado la posible sanción de multa en 60.000 euros, no concurren un “gran número de agravantes” y, además, se ha apreciado una atenuante y el acuerdo de apertura especifica “la escasa” “gravedad de la sanción, atendidos los daños y perjuicios sufridos por el titular de los datos”. 3.2. Considera que no son aplicables ninguna de las agravantes que la AEPD, “indebidamente”, ha estimado concurrentes y que la infracción que se le imputa, de existir, extremo que niega, sería leve, por lo que solicita que se imponga, “a lo sumo”, la medida de apercibimiento prevista en el artículo 58.2.
5. b)RGPD. Razona en ese sentido, lo siguiente: (
6. i)Sobre la agravante del artículo 83.2.
7. a)RGPD apreciada en el acuerdo de apertura, transcribe este fragmento del acuerdo: “A la exigencia de que se valore adecuadamente el contenido de los poderes de representación que se exhiben ante ella se une el hecho de que las contrataciones por medio de representante no son infrecuentes en el marco de su actividad empresarial.” Y sobre él hace los siguientes comentarios que merecen ser reproducidos: -Que, “en ningún caso afecta a las contrataciones en su totalidad por medio de representante, tal y como se ha argumentado en el acuerdo de inicio, puesto que mi mandante cuenta con un sistema de bastanteo fiable y robusto, en el que se cumplen todas las medidas para analizar y verificar el contenido de cualquier poder notaria y de las facultades que se puedan otorgar a través del mismo.” (El subrayado es nuestro) -Que le resulta sorprendente que no se aprecie como atenuante el hecho de que el afectado sea una persona, “precisamente porque como indica la Agencia en su escrito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/66 de Acuerdo de Inicio, estas contrataciones por medio de representante no son infrecuentes en el marco de [su] actividad empresarial”. Insiste en que se debía haber valorado el número de afectados y el nivel de daños y perjuicios, que califica de inapreciable ya que no se han “producido y/o justificado” perjuicios económicos. (
8. ii)Sobre la circunstancia del artículo 83.2.
9. b)del RGPD que se apreció como agravante en el acuerdo de apertura, afirma que la Agencia ha establecido una presunción: presume que “es una práctica común” de esa entidad reclamada “la de carecer de base de licitud en el caso de que un cliente se encuentre representado mediante poder notarial”. Por lo que, ante esta postura de la Agencia, invoca el principio de presunción de inocencia y recuerda que éste se proyecta no solo sobre la conducta típica, cuya comisión debe acreditarse, sino también sobre las circunstancias que afecten a la responsabilidad y al reproche sancionador que pretenda otorgarse a tal conducta. La reclamada justifica la presunción que atribuye a la AEPD -que es una práctica común de la entidad la de carecer de base de licitud en el caso de que un cliente se encuentre representado mediante un poder notarial-, con estos párrafos que transcribimos, que recogen fragmentos del acuerdo de apertura: << “Se aprecia una grave negligencia en la actuación del reclamado. Tomando en consideración que en el desenvolvimiento de su actividad empresarial se presentan con relativa frecuencia contrataciones por medio de representante, forma parte de la diligencia mínima que es exigible que el representado verifique que, efectivamente, el poder que el representante exhibe ante ella sobre la representación que dice ostentar le habilite para actuar en su nombre en el particular negocio que se pretende celebrar A su vez, se indica que “La evidente vinculación entre la actividad empresarial del reclamado y el tratamiento de datos personales (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) En la actividad empresarial del reclamado resulta imprescindible el tratamiento de numerosos datos de carácter personal de sus clientes por lo que, habida cuenta del importantísimo volumen de negocio de la entidad financiera reclamada cuando acontecen los hechos (entre julio de 2018 y febrero de 2020) la transcendencia de la conducta infractora objeto de la presente reclamación es innegable.”>> 3.3. Solicita que se aprecie como atenuante la circunstancia del artículo 76.2.
10. c)de la LOPDGDD, al no haber existido beneficio alguno para ella derivado de la actividad objeto de reproche y ante la inexistencia de perjuicio para la reclamante. Respecto a la circunstancia del artículo 76.2.
11. e)LOPDGDD que el acuerdo de apertura ha valorado como atenuante, declara que es irrelevante, pues no ha servido para minorar el reproche sancionador, visto el “importe desproporcionado” de la sanción que se fija en él. Teniendo en cuenta las circunstancias del caso y la ausencia de negligencia, solicita que no se imponga una sanción de contenido económico, sino, únicamente, un apercibimiento previsto en el artículo 58.2.
12. b)RGPD. Aporta los documentos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/66 1.La escritura de apoderamiento a favor del letrado que interviene en nombre de la reclamada en este procedimiento sancionador. 2.La escritura pública notarial autorizada el 1 de octubre de 2010 relativa al poder otorgado por la reclamante a favor del tercero, B.B.B.. El documento indica que la compareciente -actual reclamante- interviene “En su propio nombre y derecho, haciendo constar la compareciente que, juntamente con sus hermanos D.D.D. y C.C.C.,, son los únicos socios integrantes de la ***COMUNIDAD DE BIENES.1” y DOS MÁS, C.B., [...].” La escritura, después de recoger los datos de la interviniente dice: “OTORGA: Que confiere poder, tan amplio y bastante como en derecho se requiera y sea menester a favor de [el tercero, B.B.B.] [...] para que, en su nombre y representación, Y SOLO Y EXCLUSIVAMENTE CON LOS BIENES RELACIONADOS E INTEGRADOS EN LA ***COMUNIDAD DE BIENES.1 y DOS MÁS, C.B.”, haga uso de las siguientes FACULTADES:” Las palabras que se reproducen en mayúscula aparecen así en la escritura pública y, además, destacadas en negrilla. Entre las “Facultades” conferidas se incluyen las siguientes: El apartado
13. f)menciona “abrir cuentas corrientes o de crédito, incluso con garantía hipotecaria [...]”.El último apartado, “j”, destacado en letra negrilla dice: “
14. j)Queda especialmente facultado el apoderado para que pueda comparecer ante cualquier Organismo público o privado y pueda firmar, cobrar y pagar cualquier cantidad que resulte a favor de la citada comunidad de bienes, las que serán ampliamente interpretadas sin limitación alguna.” (El subrayado es nuestro) 3. Una guía rápida, actualizada a fecha 17 de octubre de 2019, de Alta/Modificación de Bastanteo. SEXTO: Fase de prueba. Con fecha 27 de septiembre de 2021 se acuerda abrir una fase de práctica de prueba por un periodo de treinta días. Se acuerda, asimismo, incorporar al expediente, a efectos de prueba, la reclamación que ha dado origen al procedimiento sancionador y su documentación anexa; los documentos obtenidos y generados en el trámite de solicitud de información que la Subdirección de Inspección dirigió a la reclamada antes de acordar la apertura del procedimiento y las alegaciones al acuerdo de inicio del PS/ 00211/2021 presentadas por la reclamada junto con su documentación anexa. Se practican las siguientes diligencias de prueba: a. Ante la reclamada: 1. En el mismo escrito en el que se comunica a la reclamada la apertura de la fase de prueba, de fecha 27 de septiembre de 2021, se le requiere para que remita la siguiente información y documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/66 1.1. Copia del contrato de cuenta corriente que dio lugar a la apertura de la cuenta número ***CUENTA.1, suscrito el 26 de julio de 2018, en el que la reclamante constaba como parte contratante y cotitular de la citada cuenta bancaria. 1.2. En relación con el contrato mencionado, se solicita copia de todos los documentos que hubiera recabado con ocasión de la contratación a fin de acreditar la identidad de cada uno de los contratantes y el que acreditara la supuesta representación conferida por la reclamante para tal acto a B.B.B. (el tercero). 1.3. Que informe de la fecha en la que dejó de tratar los datos personales de la reclamante vinculados al contrato de cuenta corriente mencionado en el punto 1.1. Debe aportar los documentos que acrediten su respuesta. 1.4. Copia de las alegaciones que presentó en el expediente R-***REFERENCIA.1 ante el Departamento de Conducta de Entidades (Secretaría General) del Banco de España en el expediente tramitado a raíz de la reclamación formulada por la actual reclamante contra BANKIA, S.A. 2. Con fecha 8 de octubre de 2021 se recibe la respuesta de la reclamada a las pruebas solicitadas. Manifiesta que el tratamiento de los datos personales relacionados con la titularidad de la cuenta bancaria finalizada en ***CUENTA.1 cesaron el 26 de febrero de 2020, fecha de cancelación de la cuenta. Dice aportar como documento 3 una copia de la “comunicación confirmando la baja de la cuenta a la reclamante”. Dice aportar, como documento 1, una copia del contrato de cuenta corriente número ***CUENTA.1, suscrito el 26 de julio de 2018 y como documento 2, la copia del poder notarial que “acredita la representación de D. B.B.B., otorgada por la” reclamante “para actuar en su nombre y por su cuenta” y los documentos identificativos de la reclamante y del tercero. Lo cierto, sin embargo, es que la reclamada no aportó la copia del contrato de cuenta corriente finalizada en ***CUENTA.1 que se le había solicitado. Se limitó a remitir un ejemplar del condicionado general tipo correspondiente al “Contrato de Prestación de Servicios”, en el que se recogen las cláusulas de este contrato de adhesión. El documento facilitado no incluye siquiera la fecha de emisión y de vigencia. Tampoco aportó los documentos de identidad de la reclamante y del tercero, supuestamente incluidos en el documento número 2, ni la “comunicación confirmando la baja de la cuenta a la reclamante” que dijo aportar como documento número 3. 3. Segunda petición de prueba a la reclamada: Con fecha 18 de octubre de 2021 la instructora del expediente acuerda practicar nuevas diligencias de prueba ante la reclamada quien recibe la notificación el 19 de octubre de 2021. En el escrito se le informa que no había aportado la documentación que le fue requerida y se solicita que remita: 3.1. La copia del contrato de cuenta corriente que dio lugar a la apertura de la cuenta finalizado en ***CUENTA.1. A fin de evitar confusiones, se le indica en el escrito que debía remitir los siguientes documentos: “(i)El condicionado particular del contrato de la cuenta bancaria precitada debidamente firmado por cada uno de los tres cotitulares junto con la fecha de celebración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/66 (
15. ii)Los documentos anexos al contrato que, para cualesquiera otros fines de la entidad, hubieran firmado los tres cotitulares, bien entendido que no nos referimos al modelo tipo de condicionado general sino al documento que los cotitulares hubieran firmado.” 3.2. Los documentos que obtuvo de los otros dos cotitulares de la cuenta bancaria, distintos de la reclamante, con objeto de acreditar su identidad. 3.3. Los movimientos efectuados en la cuenta bancaria finalizada en ***CUENTA.1, desde la fecha de su apertura hasta la fecha en la que canceló los datos personales de la reclamante vinculados a tal cuenta. 3.4. Toda la documentación que remitió al Banco de España, Departamento de Conducta de Entidades, anexa a sus alegaciones, en el marco del procedimiento R***REFERENCIA.1. 4. El 29 de octubre de 2021 se recibe la respuesta de la reclamada a la segunda solicitud de prueba con la que se limita a aportar estos documentos: (
16. i)El “Anexo al Contrato de Prestación de Servicios, Documento de Servicios de Pago”. En él se indica que “el “Documento de Servicios de Pago” es anexo y parte integrante del Contrato de Prestación de Servicios y es entregado al titular junto con las Condiciones Generales de dicho contrato.” “El presente documento tiene por objeto establecer las condiciones aplicables a los servicios de pago regulados en la Ley 16/2009 de 13 de noviembre de Servicios de Pago [...] y la Directiva (UE) 2015/2***CUENTA.16 [ ...]” (
17. ii)Carta de fecha 17 de enero de 2020 que el SAC de BANKIA dirige a la reclamante. Versa sobre la solicitud de información en relación con productos en los que consta en esa entidad como interviniente. En resumen, resulta acreditada la decidida voluntad de la reclamada de no facilitar a esta Agencia la copia del contrato de cuenta corriente, cuenta identificada con una serie numérica finalizada en ***CUENTA.1, que dio de alta a nombre de la reclamante y de dos personas físicas más. Tampoco ha querido aportar el documento que acredite que informó a la reclamante de la fecha en la que, supuestamente, procedió a darle de baja en el contrato. b. Ante la reclamante. 1.En escrito de fecha 27 de septiembre de 2021, que consta recibido el 29 de septiembre de 2021, se solicita que aporte la documentación e información que se detalla: 1.1. Copia de su DNI. 1.2. Que informe de (
18. i)cuál es el origen de la ***COMUNIDAD DE BIENES.1 y Dos Más, C.B. (en lo sucesivo, la Comunidad de Bienes o C.B.); (
19. ii)cuál es la naturaleza de los bienes que la integran; (iii) cuál es su cuota de participación en la citada comunidad de bienes y (
20. iv)la fecha de constitución de la comunidad y, en su caso, la fecha de su disolución. 1.3. Que, en caso de existir, aporte la copia del contrato privado o de la escritura pública en la que acordaron poner en común determinados bienes. 1.4. Que informe del CIF de la comunidad de bienes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/66 1.5. Que informe de las normas de funcionamiento por las que se rige la comunidad de bienes y aporte, en su caso, una copia del documento en el que se recojan tales normas, que deberá estar firmado por los tres comuneros. 1.6. Que informe si antes del 26 de julio de 2018, fecha en la que D. B.B.B. celebró en su nombre un contrato de cuenta corriente con la entidad BANKIA, S.A., existía alguna cuenta bancaria abierta a nombre de la “comunidad de bienes”. 2. En fecha 30 de septiembre de 2021 tiene entrada en el registro de esta Agencia la respuesta de la reclamante a las pruebas solicitadas. Manifiesta que la C.B. fue constituida en 1998 por sus dos hermanos, D. C.C.C.. y Dª D.D.D.., y que ella pasó a incorporarse a la comunidad el 30 de diciembre de 2004, al adquirir por compra una tercera parte de la finca cuya explotación constituye el objeto de la C.B, por lo que su cuota de participación es del 33%. Aporta la escritura de compraventa de fecha 30 de diciembre de 2004, que documenta la adquisición, mediante compra, de una tercera parte de la finca explotada por la C.B. El expositivo III de la escritura dice: “Con la compra aquí formalizada la compradora pasa a integrarse en la ***COMUNIDAD DE BIENES.1 y otro más, C.B." (domiciliada en [...]) de la que eran únicos integrantes los vendedores, en igualdad de derechos y obligaciones que los restantes comuneros.” Aporta los Estatutos Fundacionales, de noviembre de 1998, que incorporan las normas por los que se rige la C.B. en todo aquello que no expresamente previsto en el artículo 392 del Código Civil. Del Título III, dedicado a la “Administración de la Comunidad”, se transcriben estas estipulaciones: “Todas las operaciones mercantiles de la Comunidad se harán a nombre de esta, no obstante, en relación a las distintas modalidades de cuentas u operaciones bancarias, que pudieran efectuarse a partir de esta fecha, independientemente de que la titularidad sea de la Comunidad, corresponderá la facultad indistinta de disponer, cancelar, modificar, etc a los comuneros nombrados.” (Artículo 12) “La Comunidad, será representada, regida y administrada por D. C.C.C., quedando nombrado a estos efectos como administrador de la misma. El cambio de Gobierno de la Comunidad se hará, ineludiblemente, mediante Asamblea General de Comuneros.” (Artículo 16) Aporta un Informe emitido por el Departamento de Conducta de Entidades del Banco de España relativo a una reclamación formulada ante el órgano regulador contra una tercera entidad bancaria, distinta de la reclamada, por hechos relacionados con los que nos ocupan (referencia ***REFERENCIA.2) c. Ante el Banco de España, Departamento de Conducta de Entidades. Se solicita la copia del contrato de cuenta corriente finalizada en ***CUENTA.1 suscrito por la entidad reclamada y que obraba en su poder formando parte del expediente de reclamación con referencia R-***REFERENCIA.1. Responde que la obligación de secreto a la que está sometida la institución impide la remisión de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/66 documentación requerida, de acuerdo con el artículo 82 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito. SÉPTIMO: Solicitud de la reclamante para que se le dé traslado de la documentación que integra el expediente administrativo. Con fecha 30 de septiembre de 2021 tiene entrada en la Agencia un escrito de la reclamante en el que solicita que se le entregue una copia de las alegaciones que hubiera formulado la entidad contra la que dirigió su reclamación o/y la entidad subrogada en su posición jurídica (la reclamada). De conformidad con la jurisprudencia de la Sala tercera del Tribunal Supremo de la que se hacen eco las resoluciones de la Sala de lo Contencioso Administrativo de la Audiencia Nacional a tenor de la cual el reclamante en un procedimiento sancionador no ostenta los derechos que el artículo 53.1 de la LPACAP otorga a los interesados en el procedimiento administrativo, se deniega a la reclamante la solicitud de traslado de las alegaciones formuladas por la reclamada. Se le informa que, no obstante, finalizado el procedimiento, puede ejercitar el derecho que le otorga el artículo 13.
21. d)de la LAPAC y solicitar el “acceso a la información pública, archivos y registros, de acuerdo con lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y el resto del Ordenamiento Jurídico.” OCTAVO: Propuesta de resolución. Por la instructora del expediente se firma en fecha 26 de enero de 2022 la propuesta de resolución que se formula en los siguientes términos: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a CAIXABANK S.A., con NIF A0866***CUENTA.119, por una infracción del artículo 6.1. del RGPD, tipificada en el artículo 83.5.
22. a)del RGPD, y prevista como infracción muy grave en el artículo 72.1.
23. b)de la LOPDGDD, con una multa administrativa de 60.000€ (sesenta mil euros).” La propuesta de resolución se notifica electrónicamente al reclamado siendo la fecha de puesta a disposición el 26 de enero de 2022 y la fecha de aceptación de la notificación el 27 de enero de 2022, como lo acredita el certificado de la FNMT que obra en el expediente. NOVENO: Ampliación de plazo para formular alegaciones a la propuesta de resolución. En fecha 7 de febrero de 2022 se recibe un escrito de la reclamada solicitando que, al amparo del artículo 32 de la LPACAP, se otorgue una ampliación de plazo para formular alegaciones a la propuesta de resolución. Se otorga la ampliación solicitada por el máximo permitido por la LPACAP lo que se comunica en escrito de fecha 8 de febrero de 2022 que se notifica electrónicamente en la misma fecha y consta aceptado por la destinataria el 9 de febrero de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/66 DÉCIMO: Alegaciones a la propuesta de resolución. En ellas, recibidas en la AEPD el 16 de febrero de 2022, la reclamada formula las mismas pretensiones que frente al acuerdo de apertura del procedimiento: En primer término, solicita que se declare la nulidad de pleno derecho del procedimiento sancionador que nos ocupa “por los motivos descritos en la alegación Primera del presente escrito”. Subsidiariamente, que se acuerde el archivo del procedimiento por inexistencia de infracción de la normativa de protección de datos. Y, con carácter subsidiario respecto a las anteriores pretensiones, que se le aperciba conforme al artículo 58.2.
24. b)del RGPD o, en su defecto, se reduzca significativamente la cuantía de la multa administrativa establecida en la propuesta de resolución. 1. Con carácter preliminar reitera los argumentos expuestos en las alegaciones al acuerdo de apertura pues, a su juicio, la propuesta de resolución “no rebate en modo alguno lo señalado en las citadas alegaciones”. 2. En el “petitum” de sus alegaciones a la propuesta dice que la declaración de nulidad del procedimiento sancionador se funda en “los motivos descritos en la alegación Primera del presente escrito”. No obstante, sobre esa pretensión versa también la alegación segunda e incluso la alegación tercera. En las alegaciones primera y segunda invoca la nulidad de pleno Derecho del procedimiento sancionador por vulneración de derechos fundamentales susceptibles de amparo constitucional conforme al artículo 47.1.
25. a)del RGPD. En esas alegaciones, primera y segunda, expone, como ya lo hiciera frente al acuerdo de apertura, que la indefensión que sufre deriva, por una parte, de que la AEPD ha fijado la cuantía de la sanción en el acuerdo de iniciación y que, al obrar de este modo, se está valorando su culpabilidad “in audita parte”, sin darle la posibilidad de efectuar alegaciones y pruebas, y, por otra, que se produce una “dilución de las fases de instrucción y resolución del presente procedimiento sancionador” pues la valoración de su culpabilidad se efectúa en el acuerdo de apertura por el mismo órgano que es competente para resolver el procedimiento afectando de ese modo a la imparcialidad del órgano instructor. En general, los argumentos recogidos en las alegaciones primera y segunda son una reiteración de los que se formularon frente al acuerdo de inicio, aunque varíe la forma de exponerlos que busca rebatir la respuesta que se dio a todos ellos en la propuesta de resolución. Por ese motivo, y toda vez que se reproducen en el Antecedente quinto de esta resolución las alegaciones de la reclamada frente al acuerdo de inicio, nos limitamos a transcribir aquellos párrafos que bien representen algo novedoso en lo alegado de contrario o son más significativos. Encuadrada en la alegación primera dice: “En defensa de esta actuación viciada, la Propuesta de Resolución señala, en primer lugar, que la evaluación in audita parte de las circunstancias concurrentes en el caso y, en consecuencia, la determinación por el órgano competente para sancionar del importe de la sanción procedente con anterioridad a la instrucción del asunto, derivan directa e inmediatamente de lo establecido en el artículo 64 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/66 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, “LPACAP”); si bien, a continuación, se incurre en una manifiesta contradicción, al indicarse que la actuación de la AEPD, cumpliendo con las exigencias mencionadas, se “han incluido en ellos los razonamientos que justifican la calificación jurídica de los hechos y las circunstancias que han sido valoradas para la determinación de la sanción.” (El subrayado es nuestro) “La Propuesta de Resolución considera igualmente que la determinación de la cuantía de la sanción, y la consiguiente evaluación de las circunstancias concurrentes en el caso deviene de la opción, otorgada por la LPACAP al encartado de proceder al abono anticipado de la sanción y al reconocimiento de la culpa concurrente en su conducta, establecido en el artículo 85 de la LPACAP, con la consiguiente reducción del importe de la sanción.” Después de transcribir esa disposición, añade: “La literalidad de esta norma no supone, a juicio de mi representada, una habilitación al órgano sancionador para prejuzgar el caso proponiendo ab initio el importe de una sanción, dado que con ello se quebrantan los más elementales principios del procedimiento sancionador con la consiguiente quiebra de los derechos del encartado en dicho procedimiento. En efecto, el artículo 85.1 de la LPACAP no exige una previa determinación de la sanción, dado que en ningún lugar se refiere a una sanción preestablecida, sino a la imposición de la sanción que proceda. Es decir, la norma, que en todo caso es aplicable “iniciado el procedimiento”, prevé el posible reconocimiento de responsabilidad que podrá determinar la imposición de la sanción “que proceda”, de forma que esa fijación parece preverse con posterioridad al propio reconocimiento de responsabilidad. Que el artículo 85.3 prevé que las reducciones deberán adoptarse sobre la sanción “propuesta”, lo que exige que efectivamente se haya determinado en el seno del procedimiento, previa audiencia del administrado, cuál es ese importe, lo que conduce literalmente a la conclusión de que será propuesta de resolución el momento idóneo para la determinación del citado importe, toda vez que el Acuerdo de Inicio no es el lugar idóneo para “proponer” la imposición de una sanción, sino para simplemente iniciar la tramitación del procedimiento.” “Consecuencia de todo lo anterior es que la AEPD realiza una interpretación conjunta de los artículos 64 y 85 de la LPACAP que aboca a la vulneración del derecho de mi mandante a la presunción de inocencia y le genera indefensión, amén de suponer una intrusión inadmisible del órgano sancionador en la actividad instructora, al prejuzgar la culpabilidad de mi mandante y la sanción que la misma considera aplicable. De este modo, entiende respetuosamente mi representada que la interpretación que aplica la AEPD de los preceptos mencionados abocaría a su plena inconstitucionalidad, por constituir una vulneración de los derechos fundamentales de la parte contra la que se incoe un procedimiento sancionador tramitado por la AEPD.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/66 Una muy especial atención nos merece el siguiente comentario de la reclamada que pasamos a reproducir: “La Propuesta de Resolución culmina la argumentación contenida en su Fundamento de Derecho Segundo con el siguiente razonamiento: “(…) la invocada por la reclamada “clara ruptura del principio de separación de la fase instructora y de sanción” que habría afectado a la imparcialidad del órgano instructor, con la consiguiente nulidad del procedimiento conforme al artículo 47.1.
26. a)de la LPACAP, “carece de relevancia constitucional a los efectos del art. 24.2 CE”, pues como precisa el Tribunal Constitucional, es un principio de carácter legal cuya tutela corresponde a los órganos judiciales, sin que la exigencia de imparcialidad del órgano administrativo sancionador sea una garantía derivada del artículo 24.2 de la C.E. con el carácter de derecho fundamental.” El contenido de semejante razonamiento causa a esta parte, no ya una enorme perplejidad, sino una absoluta estupefacción, dado que del mismo se desprende que esta Agencia no ha apreciado respecto del procedimiento administrativo sancionador la necesaria separación de las fases de instrucción y de resolución y la necesaria intervención en las mismas de dos órganos distintos, sin que el órgano sancionador pueda intervenir ni “dirigir”, como ha sucedido en este caso, la actuación independiente del órgano instructor. Recuérdese simplemente a tal efecto que el artículo 63.1 de la LPACAP es palmario cuando señala que “los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente y establecerán la debida separación entre la fase instructora y la sancionadora, que se encomendará a órganos distintos”. De este modo, la Ley señala, terminantemente, por mucho que la Propuesta pretenda decir lo contrario, que “quien instruye no resuelve”, dado que las diferentes funciones deberán atribuirse a órganos distintos. Y para nuestra mayor sorpresa, la Propuesta de Resolución no sólo considera que el citado principio de separación de las fases de instrucción y resolución no es predicable al procedimiento sancionador administrativo, contradiciendo así lo establecido expresamente en la LPACAP y constantemente recordado por reiteradísima jurisprudencia del Tribunal Constitucional (por todas, en la STC 9/2018, de 5 de febrero), sino que además afirma sin ningún reparo que el principio “a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo”, sobre la base de una supuesta jurisprudencia constitucional que en nada guarda relación con semejante conclusión. Por su parte, la STC 74/2004, de 22 de abril, invocada en la Propuesta de Resolución, sí hace referencia al derecho a la tutela judicial efectiva, pero en el aspecto referido a la no aplicación al procedimiento administrativo del derecho al juez ordinario predeterminado por la Ley, lo que tampoco guarda relación alguna con lo analizado en el presente procedimiento.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/66 Encuadrada en la alegación segunda, “De la indefensión producida a mi mandante como consecuencia de la fijación de las circunstancias agravantes y atenuantes en el acuerdo de inicio” dice: “En el acto que supone el inicio de la tramitación del procedimiento sancionador, la Agencia, además de fijar ab initio e inaudita parte cuál es el reproche sancionador, incluso procede a la determinación de las atenuantes y agravantes concurrentes en el caso, pese a que mi mandante no ha tenido ocasión en ningún momento de poner de manifiesto y aportar ante el citado órgano aquellas circunstancias que pudieren resultar aplicables en el presente caso; dado que, obviamente, no podía tener conocimiento de la apertura del procedimiento hasta que le ha sido notificado el Acuerdo de Inicio en el que la Agencia aprecia unilateralmente las circunstancias que ella ha considerado.” Considera que este hecho le “conduce a la generación de una absoluta y total indefensión”. Reitera una vez más el argumento de que la determinación de la sanción que pudiera corresponder y de las circunstancias modificativas de la responsabilidad que han de tenerse en cuenta en su determinación “supone una afectación sustancial del ámbito de actuación del órgano competente para la instrucción” lo que supone a su juicio una “ruptura del principio de separación entre la fase de instrucción y de sanción , que es consustancial al derecho penal y, por mandato del Tribunal Constitucional, al derecho administrativo sancionador.” Principio que recoge la LPACAP cuyo artículo 63.1. dispone que “Los procedimientos de naturaleza sancionadora […] establecerán la debida separación entre la fase instructora y la sancionadora, que se encomendará a órganos distintos.” 3. La alegación tercera versa también sobre la nulidad del procedimiento sancionador. La reclamada afirma que el acuerdo de inicio del procedimiento dictado por la Directora de la AEPD el 18 de junio de 2021 es nulo de pleno derecho por “la manifiesta y grave incompetencia material de la persona que [ lo] dictó”. Expone en defensa de su tesis dos hechos que determinarían a su entender la incompetencia material de la persona que ostentaba, y ostenta actualmente, el cargo de Directora de la AEPD en la fecha en la que se dicta el acuerdo de inicio del expediente sancionador. (
27. i)Que conforme al artículo 15 del Estatuto de la Agencia, aprobado por el Real Decreto 428/1993, de 26 de marzo (en adelante, el Estatuto de 1993) en la fecha en la que se cumplió el plazo de cuatro años del mandato de la actual Directora, el 24 de julio de 2019, se habría producido su cese. Argumenta que el nombramiento de la actual Directora de la AEPD se efectuó mediante el Real Decreto 715/2015, de 24 de julio, de conformidad con lo dispuesto en el artículo 14.1 del Estatuto 1993. Que la LOPDGDD, en su Disposición Transitoria Primera, que lleva por rúbrica “Estatuto de la Agencia Española de Protección de Datos”, establece que el Estatuto de 1993 continuaría vigente en todo aquello que no se opusiera a lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/66 Título VIII de la LOPDGDD -en el escrito se cita por error la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD)- y que “se añade en la mencionada Disposición Transitoria que ciertos preceptos relacionados con la Presidencia de la Agencia y con el Consejo Consultivo de la Agencia (concretamente los apartados 2, 3 y 5 del artículo 48 y artículo 49), no serían de aplicación hasta la expiración del mandato de quien pudiera ostentar la condición de Director de la AEPD en el momento de entrada en vigor de la LOPDGDD (7 de diciembre de 2018).” Añade que en esa fecha la persona titular de la Dirección de la AEPD era la actual Directora, “cuyo mandato expiró el 24 de julio de 2019 de modo que, a partir de esa fecha expiración del mandato, los mencionados preceptos ya fueron de aplicación.” Advierte que de conformidad con el artículo 14.3 del Estatuto de 1993 “el mandato del Director de la Agencia de Protección de Datos tendrá una duración de cuatro años contados desde su nombramiento y solo cesará por las causas previstas en el artículo 15 del presente Estatuto”. Y que el artículo 15.1 del Estatuto de 1993 dispone que el “Director de la Agencia de Protección de Datos cesará en el desempeño de su cargo por la expiración de su mandato”. Subraya que ni el Estatuto de 1993 ni la LOPDGDD contienen una previsión en el sentido de que se puedan ejercer en funciones la Dirección o la Presidencia de la Agencia, previsión que sí recoge el Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos (Estatuto de 2021) que en su artículo 12.3 establece que “La persona titular de la Presidencia cesante continuará en funciones hasta la toma de posesión de la nueva persona titular de la Presidencia”. Disposición que, la reclamada subraya, solo es aplicable a partir del 3 de junio de 2021. Sobre la base de las normas invocadas argumenta que en tanto la actual Directora de la AEPD fue nombrada mediante Real Decreto de 24 de julio de 2015, a tenor del artículo 14.3 del Estatuto de 1993, transcurridos cuatro años, el 24 de julio de 2019, expiró su nombramiento como Directora de la Agencia y que, “conforme al artículo 15.1 del Estatuto de 1993 la expiración del mandato conllevó su cese directo en el desempeño del cargo de Directora de la AEPD a partir del 24 de julio de 2019 decir, había cesado en sus funciones ”. Colige de lo anterior que a partir de esa fecha - 24 de julio de 2019- la actual Directora de la AEPD carecía de competencia para dictar actos administrativos de la AEPD. Respecto a la expiración del nombramiento del titular de un órgano administrativo la reclamada cita la sentencia 2393/2017 de 16 de junio de 2017 dictada por la Sala de lo Contencioso-Administrativo del Tribunal Supremo (recurso de casación 1585/2016). Alega finalmente que “Otros pronunciamientos jurisprudenciales en el mismo sentido serían las resoluciones del Tribunal Supremo con las referencias 1067/2017 y 1093/2017; cabe añadir que el Tribunal Supremo excluye expresamente de los supuestos de expiración del nombramiento la aplicación de la figura doctrinal del funcionario de hecho.” (
28. ii)La supresión del órgano directivo “Director de la Agencia Española de Protección de Datos”, supresión que se habría producido con la entrada en vigor del Real Decreto 389/2021 por el que se aprueba el Estatuto de la AEPD, Disposición adicional única. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/66 Manifiesta que en la Disposición Transitoria única del citado Real Decreto “no hay previsión alguna respecto de que transitoriamente no sea efectiva tal supresión, por ejemplo, manteniendo como órgano directivo de la AEPD el de “Director”, hasta el nombramiento del titular de la “Presidencia de la Agencia Española de Protección de Datos”, ni hay mención alguna a una potencial aplicación del artículo 12.3 del Estatuto del 2021, que se refiere únicamente a “la persona titular de la Presidencia”, ni tampoco se prevé que el titular del órgano suprimido pase a ser el titular de la Presidencia de la AEPD, de modo que, a partir del 3 de junio de 2021, todos los actos administrativos dictados por el órgano “Directora de la Agencia Española de Protección de Datos” también son actos administrativos en los que concurre un vicio de legalidad que implica la inexistencia jurídica de los mismos, por lo que estamos ante un supuesto de nulidad de pleno derecho, en tanto que los actos que afectan el procedimiento que nos ocupa están dictados por un órgano de la AEPD expirado e inexistente.” 4. La alegación sexta del escrito de alegaciones a la propuesta lleva por rúbrica “Falta de competencia para determinar la suficiencia del poder”. Frente a la respuesta contenida en la propuesta de resolución que confirmó que esta Agencia era competente para para conocer de esta controversia -competencia que la reclamada negó en sus alegaciones al acuerdo de inicio- la reclamada aduce en sus alegaciones a la propuesta, como argumento a su favor, las mismas resoluciones judiciales que la propuesta de resolución citó en apoyo de la competencia de la AEPD. A tal fin, la reclamada “acota” convenientemente el texto de las sentencias de la Sala de lo Contencioso Administrativo de la Audiencia Nacional que se citaron en la propuesta de resolución de manera que lo que son argumentos esgrimidos por quien fue parte demandante en los procedimientos contencioso-administrativos que finalizaron con las SSAN reseñadas aparenten ser razonamientos del Tribunal que dictó esas sentencias. Para mayor claridad expositiva transcribimos este fragmento de la alegación sexta de las alegaciones a la propuesta de resolución: “Coincidimos con esta Agencia que, de acuerdo con la doctrina de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, “puede ponderar las circunstancias que rodean el supuesto concreto, en orden a determinar, únicamente, si se ha producido una normativa sectorial de protección de datos”, pero no es un ejercicio de ponderación el que está llevando a cabo en el presente procedimiento sancionador, sino una interpretación del contenido de un documento civil que impacta de pleno en la determinación de la infracción: si el poder es suficiente y válido, como mantiene y argumenta mi representada, no hay infracción; si el poder no es suficiente y no válido, como mantiene esta Agencia, hay infracción. No hay por tanto, ponderación, sino una valoración jurídica que no resulta de su competencia. En sus propias palabras (Fundamento de Derecho Segundo): “Otra cosa es que para ejercer su competencia haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros”. Es por ello que se produce, también en sus propias palabras, “una debida incursión en cuestiones civiles”, usurpando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/66 esta Agencia la competencia de los tribunales civiles, únicos legitimados para resolver cuestiones de fondo (que no aspectos ponderativos) reguladas en el Código Civil, y no en la normativa de protección de datos.” “Es por ello que la sentencia traída a colación en la Propuesta de Resolución (SAN 232/2005, de 3 de julio) refuerza el argumento de mi representada, “Comienza el recurrente la defensa de su pretensión alegando la incompetencia de la Agencia de Protección de Datos ya que la controversia versa sobre la existencia o no de un determinado contrato y esta cuestión es de naturaleza esencialmente civil, y, por consiguiente, sustraída a su competencia, según dispone el artículo 37 de la LOPD. En realidad, el Director de la Agencia de Protección de Datos no ha resuelto sobre la procedencia o improcedencia de la deuda, sino que su resolución se centra en considerar infringidos determinados preceptos de la LOPD, anudando como consecuencia a dichas infracciones la imposición de una sanción.” Y es que de los términos anteriores, aplicados mutatis mutandi al presente procedimiento, resulta lo siguiente: (
29. i)se trata de una cuestión de naturaleza esencialmente civil, y por lo tanto sustraída a su competencia (
30. ii)la Propuesta de Resolución resuelve sobre la suficiencia o no del poder (la cuestión civil) (iii) la infracción se produce como consecuencia de dicha valoración: el tratamiento de los datos es ilícito porque la AEPD entiende que el poder no es suficiente, circunstancia interpretativa totalmente ajena a la normativa de protección de datos.” (El subrayado es nuestro) La reclamada concluye este alegato afirmando que “[...] la valoración jurídica que nos ocupa es una valoración de naturaleza prejudicial, resultando un juicio de naturaleza civil que en ningún caso resulta de su competencia, y que resulta crucial y trascendente para la imputación o no de infracción.” 5. La alegación séptima del escrito lleva por rúbrica “Ha sido aportada toda la documentación solicitada por esta Agencia”. La reclamada manifiesta su “total desacuerdo” con la afirmación incluida en la propuesta de resolución según la cual estaba acreditada en el expediente la decidida voluntad de la reclamada de no facilitar a esta Agencia el contrato de cuenta corriente finalizado en ***CUENTA.1 que se dio de alta a nombre de la reclamante ni el documento que acreditaba que le había informado de la fecha en la que procedió a dar de baja el contrato. Y seguidamente afirma: “Si bien estos documentos constan en el expediente que nos ocupa, por haber sido aportados por mi representada en los dos períodos de prueba abiertos por el órgano instructor (esta Agencia dispone de todos los documentos suscritos por los cotitulares con motivo del alta de la cuenta interesada), volvemos a remitir lo ya remitido (ANEXO 1); y aprovechando para señalar nuestra total disconformidad con la manifestación transcrita, que de ninguna manera se ajusta a las actuaciones de mi representada ante los órganos judiciales o administrativos, y ante esta Agencia en particular, estricta y diligente cumplidora C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/66 del deber de colaboración con las administraciones públicas y los tribunales de justicia.” (El subrayado es nuestro) 6. La alegación cuarta, “Licitud del tratamiento”, versa sobre la cuestión de fondo debatida en el expediente sancionador. Además de dar por reproducidas sus alegaciones al acuerdo de inicio la reclamada transcribe el artículo 12 de los estatutos de la comunidad de bienes y hace las siguientes consideraciones: “Como es de ver, los propios estatutos no circunscriben la gestión de los bienes de la comunidad a una cuenta titularidad de la Comunidad de Propietarios, contrariamente a lo que mantiene esta Agencia en su Propuesta de Resolución, sino que la gestión de los bienes objeto de la misma se puede hacer de manera indistinta por cualquier comunero y en relación a cualquier modalidad de cuenta u operación bancaria, sin que la titularidad de la misma deba corresponder a la Comunidad de Bienes.” Añade que, aparentemente esa “circunstancia” se ha obviado por la Agencia y ha sido olvidada por la reclamante de quien, dice, pretende cargarle con “obligaciones de supervisión y vigilancia que ni constan en los estatus de la Comunidad de Bienes ni tampoco dimanan de la regulación de aplicación a dicha figura jurídica o de la normativa financiera aplicable a mi representada.” La reclamada afirma también: “De acuerdo con el apartado 2 anterior y el contenido y alcance del poder, (apartado 3 anterior) resulta meridiano que el poder objeto de la presente controversia habilitaba al apoderado a abrir una cuenta en nombre de la poderdante.” Y añade seguidamente: “Y dicha cuenta fue abierta en fecha 26 de julio de 2018, por los otros dos socios de la Comunidad de Bienes y la reclamante, oportunamente representada por el apoderado, facultado para abrir cuentas en su nombre (no para abrir cuentas en nombre de la Comunidad de Bienes): estamos ante una cuenta cuya cotitularidad era compartida por los miembros de la Comunidad de Bienes (y, como hemos visto anteriormente, los estatutos de la misma establecían expresamente que la gestión de la misma podía realizarse a través de cuentas cuya titularidad no correspondiera a la propia Comunidad de Bienes). “Como es de ver, las facultades jurídicas concedidas eran absolutamente válidas, independientemente de los asuntos o bienes a los que afecte, para la apertura de la cuenta cuestionada por la reclamante; por otra parte, en relación al mandato recogido respecto de los bienes de la Comunidad, debemos señalar que las relaciones de la cosa común que pertenece a todos los comuneros, entre ellas el uso y disposición de la misma, es un asunto que compete a los comuneros, no a la entidad financiera que pone a disposición de sus clientes la prestación de un servicio financiero (tenencia de una cuenta corriente que incluye un servicio de caja), sin que puede exigírsele una función de “policía” o de “auditoría” respecto de relaciones a las que las entidades financieras resultan totalmente ajenas.” “Obviamente que en la prestación del dicho servicio financiero el cliente puede establecer determinadas limitaciones, cuantitativas u operativas (por ejemplo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/66 reintegros hasta un importe o no realización de transferencias al extranjero), que la entidad bancaria debe observar y respetar; pero en ningún caso puede asumir la ejecución de un mandato que no le es destinado, siendo las concretas instrucciones del poderdante irrelevantes para mi representada, por ser, reiteramos, tercero ajeno a las relaciones entre el mismo y el apoderado: su incumplimiento generará responsabilidad del mandatario frente al mandante, pero no de la entidad financiera ante el mandante. “Nos encontramos, por lo tanto (si es el caso) ante un abuso de poder, no ante una insuficiencia de facultades para el negocio jurídico celebrado entre la reclamante y mi representada.” “Como hemos indicado, la reclamante pretende trasladar a mi representada una responsabilidad que es del apoderado; [...]” Concluye diciendo que “las instrucciones concretas de obrar constituyen una delimitación de la representación que conciernen íntegramente al apoderado, no a la entidad financiera que ha abierto una cuenta de acuerdo con las facultades expresamente señaladas en el poder exhibido a tal efecto.” 7. La alegación quinta lleva como rúbrica “Vulneración del principio de proporcionalidad, inadecuada valoración de los factores aplicables a las circunstancias del presente caso”. Comienza reiterando consideraciones que ya hizo en sus alegaciones al acuerdo de apertura referentes al carácter accesorio que, a su juicio, tienen para esta Agencia las circunstancias concurrentes en el caso en aras a fijar el importe de la sanción y afirma que la actuación de la AEPD “está muy lejos de la objetividad e imparcialidad que le son per se requeridas normativamente.” Invoca la aplicación del principio de proporcionalidad y cita a tal fin la STS de 20 de noviembre de 2001 (recurso de casación 7686/1997) en cuyos fundamentos se apoya para concluir que “es necesario que por el órgano sancionador se proceda a evaluar meticulosamente las circunstancias concurrentes en el presente procedimiento”. Sostiene que, en el presente caso, no concurren las agravantes que indebidamente se estimaron en la propuesta de resolución. 1.Respecto a las circunstancias previstas en el artículo 83.2.
31. a)RGPD plantea las siguientes cuestiones: 1.1. Sobre la duración de la infracción, que fue calificada como agravante en la propuesta de resolución dice: “En este sentido, no se puede considerar una infracción de carácter permanente, en tanto que se procedió a causar baja de propio contrato en que la reclamante era titular en un periodo de tiempo limitado. BANKIA, en atención a la solitud de baja y finalización del contrato de la cuenta interesada, presentada por la reclamante con fecha 05/02/2020, procedió a ejecutar dicha orden el 26/02/2020; es decir, cursó la baja de la reclamante en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/66 cuenta en un periodo inferior al mes desde que se solicitó la misma. Así mismo, las circunstancias del procedimiento que nos ocupan solo afectarían, en todo caso, y de manera exclusiva, a la reclamante, ya que se trata de la interpretación del contenido de un concreto poder, no un fallo de los sistemas de admisión y proceso de bastanteo de poderes de representación.” 1.2.Acerca de la consideración que se hizo en la propuesta sobre la gravedad de la conducta de la entidad reclamada, en tanto se produjo en el desenvolvimiento de la actividad propia de un banco para el que es esencial la identificación correcta de los sujetos titulares de las operaciones bancarias, señala que “en ningún caso es una situación que afecte la totalidad de las contrataciones por medio de representante, puesto que, tal y como se ha argumentado y probado en el Acuerdo de Inicio, mi mandante cuenta con un sistema de bastanteo fiable y robusto, en el que se cumplen todas las medidas para analizar y verificar el contenido de cualquier poder notarial y de las facultades que se puedan otorgar a través del mismo.” (El subrayado es nuestro) 1.3. Muestra su desacuerdo con que no se haya apreciado como circunstancia atenuante que la persona afectada ha sido solo una y por un concreto poder notarial: “Justamente, tal y como indica la Agencia, estas contrataciones por medio de representante no sólo no son infrecuentes, sino absolutamente habituales en el marco de la actividad empresarial de mi representada, siendo la primera vez que esta Entidad afronta un procedimiento sancionador por dicho motivo (y reiteramos, se trata de un CONCRETO poder con un contenido susceptible de controversia interpretativa), por lo que se tendría que haber considerado el número de afectados