← España

PS-00235-2017

1/21 Procedimiento Nº PS/00235/2017 RESOLUCIÓN: R/02699/2017 En el procedimiento sancionador PS/00235/2017, instruido por la Agencia Española de Protección de Datos a la entidad CAIXABANK, S.A., vista la denuncia presentada por Dña. B.B.B., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de febrero de 2017 se registra de entrada en esta Agencia escrito de Dña. B.B.B. (en lo sucesivo, la denunciante), poniendo de manifiesto el incumplimiento por parte de CAIXABANK, S.A., (en lo sucesivo CAIXABANK o la denunciada), de las exigencias recogidas en la normativa de protección de datos para garantizar la seguridad de los datos de carácter personal tratados, puesto que la denunciada ha extraviado la documentación que aportó a fin de rescatar un plan de pensiones, y entre la que se encontraba información de naturaleza médica, la cual ha debido volver a presentar ante el desconocimiento de esa entidad de su paradero una vez salió de la oficina en la que se entregó hacía otro departamento. La denunciante adjunta copia de la reclamación que interpuso contra CAIXABANK por dicha causa ante la Junta de Andalucía, Consejería de Gobernación, así como de la respuesta recibida de dicha entidad bancaria a la misma. SEGUNDO: A la vista de los hechos denunciados, de conformidad con las evidencias disponibles, se ha tenido conocimiento de los siguientes hechos: 2.1 De las manifestaciones de la denunciante se desprende: Que a mediados de diciembre de 2016 presentó en la oficina X.X.X. de CAIXABANK la documentación que le fue requerida para gestionar la tramitación del rescate de un plan de pensiones, entre la cual se incluían informes médicos, historial clínico y tratamientos seguidos, teniendo conocimiento, con fecha 20 de enero de 2017, tanto del extravío de dicha documentación como de que debía volver a presentar la información aportada. 2.2 Que con fecha 20 de enero de 2017 la denunciante presentó ante la Junta de Andalucía, Consejería de Gobernación, una reclamación contra CAIXABANK por la pérdida de dicha documentación. En el apartado de la reclamación correspondiente a la “Descripción del Hecho y Pretensiones de la Persona Reclamante”, la denunciante señalaba que: “Para el rescate del plan de pensiones, en esta oficina se han presentado los papeles entre, los cuales informes médicos, tratamiento de psiquiatría, que según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 empleados de la oficina han sido enviados por valija por motivos de seguridad y protección de datos e informes médicos sobre el 20-12-16”, añadiendo que “A fecha 2001-17 la documentación no está entregada, está extraviada. No saben dónde están, informes médicos. No se cumplen medidas de protección de datos.” En el apartado de la reclamación correspondiente a las “Observaciones de la empresa sobre los Hechos Reclamados”, la oficina X.X.X. de CAIXABANK, parte reclamada, hacía constar que: “La documentación se envió por el circuito indicado en el procedimiento y nos comunican del Centro Destino que no ha llegado. Mientras se ha reclamado a este departamento que lo busquen se le comunica a la clienta si nos los puede de nuevo entregar para ir adelantando el procedimiento.” 2.3 Con fecha 27 de enero de 2017, desde el Servicio de Atención al Cliente de CAIXABANK, se dirige a el siguiente escrito a la denunciante en contestación a la reseñada reclamación: “Distinguida señora: Contestamos su reclamación de fecha 20 de enero, relativa a la documentación de un rescate de plan de pensiones enviada desde la oficina X.X.X. y que no ha llegado al departamento correspondiente. En primer lugar deseamos pedirle disculpas por las molestias que le hayamos podido ocasionar, ya que la entidad y sus empleados son especialmente sensibles a la hora de custodiar los datos personales, tratando siempre la información confidencial de nuestros clientes dentro de un estricto respecto. Asimismo, nos comunican que en fecha 24 de enero se ha vuelto a enviar la documentación correspondiente.(…)” TERCERO: Con fecha 29 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CAIXABANK, S.A. por presunta infracción la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), LOPD en su relación con lo dispuesto en el artículo 92.3 del RLOPD, tipificada como grave en el artículo 44.3.

  1. h)de la citada Ley, pudiéndole corresponder una sanción de 40.001 euros, sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio a la denunciada con fecha 2 de junio de 2017, y en contestación a la solicitud formulada por CAIXABANK, S.A., con fecha 21 de junio de 2017 se acordó ampliar el plazo inicialmente concedido a dicha entidad para formular alegaciones hasta un máximo de cinco días. Transcurrido ese plazo, la entidad denunciada presenta escrito solicitando la declaración de inexistencia de infracción o de responsabilidad en su conducta aduciendo que la oficina ha seguido la operativa interna establecida para tramitar la liquidación del Plan de Pensiones Individual de VidaCaixa, comercializado por CAIXABANK, que fue solicitado por la denunciante al producirse la contingencia de enfermedad grave. Según la denunciada, este tipo de prestación requiere obtener la autorización de VidaCaixa a la liquidación del Plan, para lo cual es necesario remitir la solicitud y documentación al Departamento de Operaciones-Planes de Pensiones 042-5504 a fin de acreditar que se ha producido la contingencia de enfermedad grave que da lugar al cobro de la prestación. Para garantizar la confidencialidad de los datos de salud del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 cliente, los documentos que contengan ese tipo de información no se anexan en los formularios del buzón de oficina ni se custodian en la misma, sino que se envían por valija siguiendo el procedimiento establecido al efecto, en el que el cliente que solicita la prestación debe: - Cumplimentar y enviar el formulario correspondiente. - Imprimir el formulario enviado y junto a la documentación del expediente incluirlo en sobre blanco. - Indicar en el frontal del sobre blanco el producto y tipo de contingencia. -Enviar inmediatamente el sobre blanco cerrado, a través del sobre de valija al Departamento de Operaciones - Planes de Pensiones (042 -5504). -Hasta que se envié por valija, el sobre con la documentación se custodiará en la oficina bajo llave, según determina la LOPD. -Los empleados no tienen acceso a esta documentación y son los propios clientes los que introducen la documentación en los sobres. Conforme a lo cual la oficina no guarda copia de la documentación aportada por el cliente ni la revisa, no tiene acceso ni puede conocer el contenido que el cliente introduce en los sobres que posteriormente son introducidos en la valija. Añade que aunque en todo momento se vela por la seguridad de los datos de carácter personal hay ciertos aspectos que escapan de su control y que forman parte del riesgo que conlleva toda operación, como ocurre con la no recepción a tiempo de la documentación enviada a través de la valija. Asimismo, señala que “En este caso ha habido algún error en el envío del sobre blanco mediante valija y no ha llegado a su destino en el tiempo previsto. Ello no significa que el sobre haya sido extraviado y que no se haya garantizado la seguridad de los datos, sino que ha habido una incidencia en el envío normal del sobre y el mismo llegará con retraso a su destino. Mediante el servicio de incidencias de valija el sobre puede ser rastreado por lo que no se infringen las medidas de seguridad de los datos. Cabe destacar que en la valija únicamente circula documentación de CaixaBank por lo que en todo momento en los sobres que se introducen en las valijas consta de forma destacada, el número y el nombre del centro de destino, del centro remitente y están debidamente cerrados. Todos los empleados de CaixaBank tienen la obligación de respetar la confidencialidad por lo que no puede producirse un acceso indebido a la información durante su transporte.” Subsidiariamente, manifiesta su discrepancia sobre los criterios de graduación aplicados para fijar el importe de la multa que pudiera recaer en la cantidad señalada en el acuerdo de inicio, entendiendo que resultan de aplicación los supuestos
  2. a)y
  3. b)del artículo 45.5 de la LOPD. A tales efectos, aduce que concurren las siguientes circunstancias del artículo 45.4 de la LOPD: inexistencia de beneficio alguno, puesto que la no recepción en el tiempo inicialmente estipulado de la documentación aportada por un cliente perjudica la calidad del servicio ofertado y la experiencia del cliente, repercutiendo negativamente en la imagen de la entidad; no se trata de una infracción continuada, ya que la presunta infracción se habría cometido en un momento determinado, sin que se hayan producido una pluralidad de acciones recurrentes y prolongadas durante un lapso de tiempo dilatado; falta de intencionalidad al tener implementada la operativa a seguir con el fin de preservar en todo momento la seguridad de los datos a los que pueda tener acceso; inexistencia de reincidencia por infracciones de la misma naturaleza al no haber sido sancionada por casos similares, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 tratándose de un hecho puntual y aislado. En lo que respecta a la aplicabilidad del artículo 45.5
  4. b)de la LOPD, señala que cuando se detectó que la documentación no había llegado en el tiempo previsto al centro de destino se requirió a la interesada para que la presentase nuevamente a fin de no demorar más la gestión de la prestación derivada del plan de pensiones. QUINTO: Con fecha 5 de julio de 2017 se inició período de práctica de pruebas en el que se acordó practicar las siguientes pruebas: 5.1 Incorporar al expediente, y dar por reproducidos a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación adjunta así como las alegaciones al acuerdo de inicio del procedimiento PS/00235/2017 presentadas por la denunciada. 5.2 Requerir a CAIXABANK, S.A. la remisión de la siguiente documentación: copia de la parte del documento de seguridad de esa empresa referente a la custodia de la documentación en el traslado de la misma, en especial cuando contiene información de datos personales de salud de clientes o terceros; copia de la normativa interna a seguir citada en su escrito de alegaciones en supuestos de enfermedad grave en los que VidaCaixa deba autorizar la liquidación de los planes de Pensiones por la contingencia de enfermedad grave, con especificación de los puntos concretos de la misma aplicables al caso que nos ocupa; copia del formulario que debió cumplimentar la denunciante. Asimismo, se requería a CAIXABANK aclaración del motivo por el cual en la operativa descrita se indicaba que tanto la oficina como el cliente debían enviar la solicitud y documentación requeridas al Departamento de Operaciones-Planes de Pensiones, e información relativa a las medidas implantadas para custodiar la seguridad de la documentación vía valija. Igualmente, en relación con la documentación entregada por la denunciante en la oficia X.X.X. en diciembre de 2016 se solicitaba indicación de si ya había sido, o no, localizada la misma, con justificación, en su caso, de la fecha exacta, modo y lugar en que había sido hallada; causa del extravío; información que constaba registrada en sus sistemas como de aportación de dicha documentación por la denunciante y de envío por valija interna. 5.3 Requerir a la denunciante para que, en su caso, remitiera copia de la documentación facilitada por CAIXABANK como justificante de la recepción, en diciembre de 2016, de la documentación que le fue requerida para rescatar su plan de pensiones. Asimismo, se le requería indicase si esa entidad le había comunicado la localización de dicha documentación en fecha posterior a la formulación de su denuncia ante la AEPD y la causa del extravío sufrido, en cuyo caso se le solicitaba el envío de copia de la documentación o información que hubiera podido recibir al respecto . Consta que con fecha 11 de julio de 2017 CAIXABANK recibió el escrito de notificación de pruebas acordadas, entre las cuales se encontraban las descritas en el punto 5.2 cuya práctica se le requería, y que con fecha 17 de julio de 2017 se notificó a la denunciante las pruebas cuya práctica se le requería. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 SEXTO: Con fecha 2 de agosto de 2017 se registra de entrada escrito de la denunciante significando que aunque no dispone de justificante de recepción de documentos facilitado por CAIXABANK, aporta copia de la reclamación presentada el 20/01/2017 en el que la empleada de esa entidad reconoce el extravío de la documentación, así como de la respuesta efectuada por la oficina central de esa entidad limitándose a pedir disculpas, pero sin indicar si se ha localizado la documentación. Asimismo, señala que el día 9 de febrero de 2017 se le comunicó desde la oficina que seguían sin tener información sobre la documentación, motivo por el cual formalizó denuncia ante la Guardia Civil, cuya copia adjunta. Añade que después de interponer denuncia ante la AEPD, la citada entidad no ha contactado con ella ni le ha comunicado la localización de la documentación en cuestión. SÉPTIMO: Con fecha 18 de septiembre de 2017 se formuló propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos sancionase a CAIXABANK, S.A. con multa de 40.001 € (cuarenta mil un euros), por la infracción del artículo 9 de la LOPD en relación con los artículos 92.3 y 108 del RLOPD, tipificada como grave en el artículo 44.3.
  5. h)de la LOPD, de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la citada Ley Orgánica. En dicho acto, se ponía de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS hábiles pudiera alegar cuanto considerase en su defensa y presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 en relación con el artículo 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Asimismo, se recordaba que con anterioridad a la resolución del procedimiento podría llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del importe de la misma, por lo que en ese supuesto la sanción quedaría establecida en 32.000,80 euros. OCTAVO: Notificada con fecha 19 de septiembre de 2017 la citada propuesta de resolución, con fecha 2 de octubre de 2017 se deniega la solicitud de plazo para formular alegaciones realizada, toda vez que en la solicitud de fecha 29 de septiembre de 2017 la denunciada no motivaba la causa que justificaba dicha petición y dado que la propuesta de resolución se sustentaba en los mismos hechos que motivaron el acuerdo de inicio del procedimiento sancionador, momento en el que ya se concedió a CAIXABANK una ampliación de plazo para formular las alegaciones a dicho acto. NOVENO: Con fecha 9 de octubre de 2017 se registra de entrada en esta Agencia escrito de alegaciones de CAIXABANK a la propuesta de resolución solicitando el archivo del procedimiento con fundamento, en síntesis, los siguientes extremos : -La documentación aportada por la denunciante a fin de rescatar un plan de pensiones no se ha extraviado en ningún momento, siendo un error de comunicación entre VidaCaixa, empleados de CAIXABANK y la denunciante. La denunciada resume los hechos acaecidos del siguiente modo 1. Se inició el procedimiento para el rescate de un plan de pensiones y se envió por correo interno cierta documentación que era insuficiente para rescatar un plan de pensiones; 2. La documentación enviada fue recibida por VidaCaixa, pero era insuficiente para analizar el expediente; 3. VidaCaixa solicitó información adicional; 4. El empleado de CAIXABANK interpretó que la documentación ya fue aportada y que, por lo tanto, había sido extraviada, lo que trasladó a la denunciante indicándole que debía volver a aportarla, cuando en realidad, la documentación que se aportó en un primer momento era C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 insuficiente y nunca fue extraviada. Para justificarlo CAIXABANK aporta una serie de documentos que indica han sido proporcionados por VidaCaixa y muestran cómo las manifestaciones de la denunciante indujeron a error a CAIXABANK. A saber: 1. Primer formulario informático con n° de identificador ***IDEN.1 que recoge la documentación enviada desde CAIXABANK a VidaCaixa y el formulario de rechazo de la solicitud con el mismo identificador. Aunque la denunciante señalo que la documentación presentada a mediados de diciembre de 2016 incluía informes médicos, historial clínico y tratamiento seguidos, en los sistemas de CAIXABANK figura que junto a dicho formulario, correspondiente a la solicitud efectuada por la denunciante el 15/12/2016 a las 11:11 horas, desde dicha entidad se adjuntó en formato “pdf” el libro de familia, el NIE, certificados de la seguridad social, certificado de cuenta y solicitud de rescate. Este formulario fue rechazado a las 15:24 horas del mismo 15/12/2016 por los sistemas informáticos al estar anexado al mismo el documento "solicitud de rescate" susceptible de contener datos relativos a salud. 2. Con fecha 23/12/16 se recibe en VidaCaixa por correo interno el original del formulario ***FORM.1 y original y copia de una factura del centro médico A.A.A., S.L por una terapia psicológica, demostrándose así que la documentación aportada por la denunciante el 15/12/21016 en la oficina de CAIXABANK al iniciar los trámites para el rescate del plan fue recibida en VidaCaixa en fecha 23/12/2016. 3. Segundo formulario informático con nº de identiflcador ***IDEN.2 solicitando el 23/12/2916 información adicional a la recibida en esa fecha. Según captura presentada, desde VidaCaixa se indicó a la oficina que para la tramitación de la prestación era necesario remitir por valija la siguiente documentación adicional: Solicitud de supuesto excepcional de liquidez correctamente cumplimentada y firmada por el beneficiario e informe médico del especialista sobre la patología concreta, tratamiento realizado, evolución y estado actual. 4. Tercer formulario informático con nº de identiflcador. ***IDEN.3 reiterando la solicitud de información adicional. Como la información adicional no es aportada desde la oficina se abre un nuevo Formulario con núm. ***IDEN.3, al que VidaCaixa responde reiterando lo indicado en el segundo formulario. 5. Con fecha 27/01/17 se recibe la documentación física adicional en VidaCaixa: referida en el punto 3 anterior. 6. En fecha 6/02/2017 VidaCaixa traslada respuesta a la oficina de CAIXABANK informando que se ha procedido a denegar la solicitud de rescate del plan de pensiones por no ajustarse a los requisitos exigidos. También se adjunta impresión de pantalla de los sistemas de VidaCaixa donde constan las fechas en las que, según afirma, se recibió documentación procedente de CAIXABANK (días 23/12/17 y 27/01/2017) y el nombre de la documentación recibida. Se justifica la presentación de esta documentación en este momento procedimental señalando que debido al procedimiento establecido para rescatar este tipo de planes de pensiones, en el que el cliente, y no los empleados, es quién introduce la documentación que contenga datos de salud en un sobre blanco, cuando se contestó el Acuerdo de Inicio de Procedimiento no le resultaba posible saber qué información fue efectivamente introducida en el sobre por la denunciante. Ha sido tras contactar con VidaCaixa, que se ha comprobado que los documentos que la denunciante alega haber proporcionado, enviados con fecha 20/12/16, se corresponden con los anexados al formulario n° ***IDEN.1 y con la factura por una terapia psicológica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 En consecuencia, la documentación aportada justifica que es falso que se aportasen "informes médicos y tratamiento de psiquiatra” por la denunciante, lo que indujo a error a CAIXABANK. Por lo que la manifestación efectuada por la denunciante en la queja planteada ante la Junta de Andalucía el día 20 de enero de 2017, no se ajusta a la realidad ni a los hechos acaecidos, ya que la documentación presentada prueba que la documentación aportada por la denunciante llegó correctamente a destino, aunque al no ser suficiente para tramitar el plan de pensiones con fecha 17/01/2017 VidaCaixa comunicase a CAIXABANK, y ésta a la denunciante, que para la tramitación de la solicitud era necesario que se aportaran los dos documentos adicionales que no habían sido presentados con anterioridad. La declaración de la oficina de X.X.X. reconociendo el extravío de la documentación se produce por una falta de comunicación entre la oficina y VidaCaixa. De acuerdo con la normativa interna para la gestión de los planes de pensiones, los empleados de CAIXABANK no podían tener acceso al contenido de la documentación aportada en un primer momento por la denunciante. Asimismo, los empleados de la oficina no interpretaron correctamente el escrito remitido por VidaCaixa (formulario con identificador ***IDEN.3) en el que se solicita nueva documentación que no había sido aportada con anterioridad. De igual modo, el Servicio de Atención al Cliente optó por pedir disculpas y asumir la responsabilidad en lugar de ponerse en contacto con VidaCaixa para comprobar qué documentación había sido enviada. Por lo tanto, es la desafortunada mala comunicación entre VidaCaíxa y CAIXABANK la que provoca que la denunciante interprete que la documentación que aportó para el rescate del plan de pensiones fue extraviada, no obstante que ningún documento aportado por ésta fue realmente extraviado. - CAIXABANK, cumpliendo con el artículo 88 del RLOPD, cuenta con un documento de seguridad que recoge las medidas de índole técnica y organizativas acordes a la normativa de seguridad vigente, y en cuyo punto 2.5, relativo al “Traslado de documentación en papel" se hace remisión a la "Norma interna 57: relativa al Servicio de Distribución de Documentación en la Red Territorial: valija, paquetería, mensajería y correspondencia". Se adjunta copia de ambos documentos. Por lo que queda demostrado que las medidas de seguridad implantadas por CAIXABANK son suficientes asegurar la localización de los documentos que contengas datos personales, y ha quedado probado que no se extravió la documentación. HECHOS PROBADOS PRIMERO: A mediados de diciembre de 2016 la denunciante presentó en la oficina X.X.X. de CAIXABANK, S.A. solicitud de liquidación del Plan de Pensiones Individual de su titularidad, aportando junto a la misma informes médicos, historial clínico y tratamientos médicos seguidos a fin de justificar la contingencia de enfermedad grave causante de la prestación solicitada. (folios 1 al 3) SEGUNDO: Con fecha 20 de enero de 2017 la denunciante presentó ante la Junta de Andalucía, Consejería de Gobernación, una reclamación contra CAIXABANK por la pérdida de la documentación aportada, en la que señalaba que: (folio 3) “Para el rescate del plan de pensiones, en esta oficina se han presentado los papeles entre, los cuales informes médicos, tratamiento de psiquiatría, que según empleados de la oficina han sido enviados por valija por motivos de seguridad y protección de datos e informes médicos sobre el 20-12-16”, añadiendo que “A fecha 20- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 01-17 la documentación no está entregada, está extraviada. No saben dónde están, informes médicos. No se cumplen medidas de protección de datos.” En la misma reclamación, la representante de la oficina X.X.X. de CAIXABANK hacía las siguientes observaciones respecto del extravío de la documentación objeto de la reclamación: “La documentación se envió por el circuito indicado en el procedimiento y nos comunican del Centro Destino que no ha llegado. Mientras se ha reclamado a este departamento que lo busquen se le comunica a la clienta si nos los puede de nuevo entregar para ir adelantando el procedimiento.” TERCERO: Con fecha 27 de enero de 2017, el Servicio de Atención al Cliente de CAIXABANK, comunicó a la denunciante: (folio 4) “Distinguida señora: Contestamos su reclamación de fecha 20 de enero, relativa a la documentación de un rescate de plan de pensiones enviada desde la oficina X.X.X. y que no ha llegado al departamento correspondiente. En primer lugar deseamos pedirle disculpas por las molestias que le hayamos podido ocasionar, ya que la entidad y sus empleados son especialmente sensibles a la hora de custodiar los datos personales, tratando siempre la información confidencial de nuestros clientes dentro de un estricto respecto. Asimismo, nos comunican que en fecha 24 de enero se ha vuelto a enviar la documentación correspondiente.(…)” CUARTO: Con fecha 9 de febrero de 2017 la Guardia Civil del Puesto Principal de ***LOC.1 levanta Atestado recogiendo comparecencia de la denunciante, en la que ésta declara que se persona para poner en conocimiento lo siguiente: (folios 37 al 39) “Manifiesta que el pasado mes de Noviembre al solicitar el rescate de un plan de pensiones, en la entidad la Caixa, ésta le solicita informes médicos, historial clínico, tratamiento psiquiátrico, facturas de psiquiatría. Los presentaron, a principio de diciembre en la entidad, exactamente en la sucursal de X.X.X.. El pasado 20 de diciembre les informa que han mandado por valija la documentación anterior al departamento correspondiente, que el pasado 20 de enero, recibe llamada telefónica de una empleada de dicha sucursal, llamada C.C.C., comunicando que deben volver a entregar toda la documentación porque se ha extraviado. Que vuelven a presentar la documentación y le reclama la anterior, entonces la entidad reconoce que se ha extraviado y reclaman la documentación de forma interna. La denunciante está preocupada por el tipo de documentación que es, ya aparecen datos muy importantes y personales. Que el pasado lunes, día 6, se persona de nuevo en la entidad y le dicen que no sabe dónde está la documentación y no le dan ninguna respuesta”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 QUINTO: Con fecha 27 de julio de 2017 la denunciante manifiesta que con posterioridad a la formulación de la denuncia ante la AEPD la denunciada “nunca nos ha contactado ni nos ha comunicado la localización de nuestra documentación”. (folio 33) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” El artículo 79 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), en relación con el “Alcance” de las medidas de seguridad en el tratamiento de datos de carácter personal dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cual sea su sistema de tratamiento.” Mientras que el artículo 81.1 del mismo reglamento en cuanto a la “Aplicación de los niveles de seguridad” establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad se clasifican en atención a la naturaleza de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
  7. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. A su vez, los apartados 1 al 4 del artículo 88 del RLOPD establecen: “Artículo 88. El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
  8. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  9. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  10. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  11. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  12. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  13. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  14. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
  15. a)La identificación del responsable o responsables de seguridad.
  16. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. “ (El subrayado es de la AEPD) Las medidas de seguridad aplicables a los ficheros y tratamientos automatizados se regulan en los artículos 89 a 104 del RLOPD, mientras que las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados se regulan en los artículos 105 al 114 de dicho Reglamento. El artículo 92 del RLOPD dispone en relación con la “Gestión de soportes y documentos” que: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” (El subrayado es de la AEPD) El artículo 105 del RLOPD determina como “Obligaciones comunes”: “1. Además de lo dispuesto en el presente capítulo, a los ficheros no automatizados les será de aplicación lo dispuesto en los capítulos I y II del presente título en lo relativo a:
  17. a)Alcance.
  18. b)Niveles de seguridad.
  19. c)Encargado del tratamiento.
  20. d)Prestaciones de servicios sin acceso a datos personales.
  21. e)Delegación de autorizaciones.
  22. f)Régimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.
  23. g)Copias de trabajo de documentos.
  24. h)Documento de seguridad. 2. Asimismo se les aplicará lo establecido por la sección primera del capítulo III del presente título en lo relativo a:
  25. a)Funciones y obligaciones del personal.
  26. b)Registro de incidencias.
  27. c)Control de acceso.
  28. d)Gestión de soportes. “ El artículo 108 del RLOPD dispone soportes” que: en relación con la “Custodia de los “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.” III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Sintetizando las previsiones legales citadas puede afirmarse que:
  29. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  30. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  31. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias. Expuesto el marco normativo que resulta de aplicación al caso analizado resulta necesario transcribir diversos conceptos relacionados con los preceptos citados, así como con la circunstancia derivada de que el tratamiento efectuado por CAIXABANK está referido a documentos que no sólo permiten identificar a la denunciante sino que también afectan a datos de carácter personal relacionados con la salud de la misma. Así, en el artículo 3 de la LOPD se acuñan las siguientes definiciones: “
  32. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
  33. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  34. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  35. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  36. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  37. c)del presente artículo. Por su parte, la letra
  38. g)del apartado 1 del artículo 5 del RLOPD define como “
  39. g)Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” A su vez, las letras
  40. f)y ñ) del apartado 2 del artículo 5 del RLOPD definen los siguientes conceptos n relación con lo dispuesto en el título VIII de dicho Reglamento, que tiene como rúbrica “De las medidas de seguridad en el tratamiento de datos de carácter personal”: “
  41. f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.” “ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 IV En el presente caso CAIXABANK, resulta responsable del tratamiento realizado con la documentación facilitada por la denunciante para rescatar el plan de pensiones de su titularidad por contingencia de enfermedad grave del cónyuge. En lo que respecta a la documentación objeto de extravío, consta en el procedimiento: que con fecha 15/12/2016 la denunciante presentó en la oficina X.X.X. de CAIXABANK la documentación que le fue requerida por la denunciada para gestionar la tramitación de la solicitud de liquidación del Plan de Pensiones Individual de su titularidad; que la remisión de esta documentación a VidaCaixa se produjo tanto en soporte papel a través del procedimiento de valija interna implantado para este tipo de supuestos como a través de ficheros en formato “pdf” anexados al formulario nº ***IDEN.1 de fecha 15/12/2016, el cual, según ha afirmado CAIXABANK identifica la solicitud de rescate de la denunciante en los sistemas de la entidad (folio 94). Entre esos documentos inicialmente aportados por la denunciante en la reseñada oficina de CAIXABANK estaban los informes médicos y el tratamiento de psiquiatría citados por ésta en la reclamación presentada, con fecha 20/01/2017, ante la Consejería de Gobernación de la Junta de Andalucía contra CAIXABANK por extravío de la documentación presentada, tal y como evidencia que en el apartado de “Observaciones de la empresa sobre los Hechos Reclamados” cumplimentado por la oficina X.X.X. de CAIXABANK no se cuestiona en forma alguna que dicha documentación fuera presentada por la denunciante a mediados de diciembre de 2016. Al contrario, la parte reclamada (CAIXABANK) afirma que la documentación a la que se refiere la reclamante fue enviada por el circuito indicado en el procedimiento, puntualizando también que dicha documentación no había llegado al centro de destino según la información facilitada desde el mismo. Dicho procedimiento, establecido para garantizar la confidencialidad de los datos de salud aportados por los clientes, requería que el traslado de la documentación física aportada por la denunciante se efectuase por valija interna, mecanismo que también se usó cuando la denunciante volvió a presentarla por extravío de la anterior a finales de enero de 2017. Sentado lo cual, del conjunto de elementos de juicio obrantes en el procedimiento se desprende que la información concerniente a datos de carácter personal de salud de la denunciante y de su cónyuge presentados por aquélla en la mencionada oficina, y necesarios para poder justificar ante VidaCaixa que se producía la contingencia de enfermedad grave que motivaba la solicitud de rescate del citado plan de pensiones de su titularidad, comprendía los siguientes documentos: -La solicitud de rescate del plan firmada por la denunciante con fecha 22 de noviembre de 2016. Este documento está relacionado entre los ficheros anexados en formato “pdf” que constan en la casilla “Ficheros anexos” del formulario con identificador nº ***IDEN.1 de fecha 15/12/2016, contenido en el documento nº 1 aportado por CAIXABANK (folio 102), en cuyos “Comentarios de la oficina” consta la siguiente Nota: “Se considera datos de salud los relativos a las contingencias de invalidez y dependencia y el supuesto de liquidez de enfermedad grave, así como las contingencias vinculadas a partícipes discapacitados.” (folio 103) El formulario citado fue rechazado por VidaCaixa con fecha 15/12/2016 (folio 103) por no poder “tramitar dicha petición, dado que en la misma se anexan documentos con datos de salud. En este sentido, lamentamos informar que debemos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 proceder al cierre del formulario y que, para atender esta petición, será necesario la apertura de nuevo formulario sin anexar la documentación con datos de salud, la cual deberá remitirse, por valija, según lo indicado en la propia Norma (…)”. A su vez, la aparición en este documento nº 1 de la casilla antes citada, que muestra la captura de una relación de ficheros anexos en formato “Pdf” al formulario, pone de relieve, en contra de lo afirmado por CAIXABANK, que los empleados de la reseñada oficina bancaria conocían la naturaleza exacta de los documentos aportados por la denunciante, ya que se reseñaron en el formulario con identificador nº ***IDEN.1 remitido desde la misma a VidaCaixa con fecha 15/12/2016, sucursal desde la que también se enviaron por valija los documentos físicos que hasta la fecha CAIXABANK no ha justificado llegaron físicamente a su destino, en concreto al Departamento de Operaciones-Planes de Pensiones (042-5504). Por otro lado, conviene señalar que contrastando la información que aparece en dicho formulario con identificador nº ***IDEN.1 con otros documentos también aportados por CAIXABANK, se considera que la referida casilla no muestra la totalidad de los documentos presentados por la afectada a mediados de diciembre de 2016, ya que mientras el reseñado documento nº 1 muestra detalle de cinco ficheros anexos (folio 102), resulta que en el documento nº 4, asociado al formulario con identificador nº ***IDEN.4creado el 16/12/2016, sólo detalla cuatro ficheros anexos (folio 107) en la casilla que se muestra en el mismo al hacer referencia al formulario anterior con identificador nº ***IDEN.1. Además, el cuadro que CAIXABANK ha presentado como documento nº 9 (folio 122) permite asociar el documento nº 7 (folios 115 al 117) descrito bajo el título .......PDF con el informe médico del especialista de fecha 06/06/2016 del Centro Médico A.A.A., S.L. que más adelante se cita. Téngase en cuenta que el citado documento nº 7 aparece en dicho cuadro asociado al identificador nº ***IDEN.1 de fecha 15/12/2016, por lo que formaría parte de la documentación con datos de salud aportada por la denunciante que CAIXABANK remitió por conducto de valija interna a mediados de diciembre de 2016, y que no consta acreditado por CAIXABANK haya sido recibida por VidaCaixa. - Dos facturas de fechas 29/11/2016 y 13/12/2016, ambas por importe de 50 euros, emitidas por Centro Médico A.A.A. S.L. a nombre de la denunciante por el concepto “Terapia psicológica” (folios 105 y 106, que CAIXABANK indica se encontraba entre la documentación física recibida en VidaCaixa el 23/12/2016 junto con el original del formulario con identificador ***IDEN.1 (folio 95). - Informe médico emitido con fecha 6 de junio de 2016 por un especialista del Centro Médico A.A.A. S.L., en el que aparece diagnosticado el problema psiquiátrico padecido por el cónyuge de la denunciante, el tratamiento realizado, evolución y estado actual del mismo. Ya se han señalado con anterioridad los motivos por los que se considera que este informe médico formaba parte de la documentación aportada por la denunciante que CAIXABANK envió por valija a mediados de diciembre de 2016, y que a fecha 27 de enero de 2017 continuaba extraviada, tal y como como el Servicio de Atención al Cliente de CAIXABANK le comunicó a la denunciante. Por otra parte, no parece razonable que la denunciante no aportase en diciembre de 2016 documentos de fecha anterior, como el informe médico emitido con fecha 06/06/2016 por el especialista o la solicitud de supuesto excepcional de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 liquidez firmada por ella misma con fecha 22/11/2016. A todo lo expuesto, se añade que en las alegaciones al acuerdo de inicio CAIXABANK señaló que “para solicitar la autorización de la prestación a VidaCaixa es necesario remitir una serie de documentación junto con la solicitud. La documentación que se solicita son datos que acreditan que se ha producido la contingencia que da lugar al cobro de la prestación. En este caso, los datos que acreditan una enfermedad grave.”, que está en consonancia con las afirmaciones de la denunciante relativas a la naturaleza de la documentación entregada a CAIXABANK a mediados de diciembre de 2016 y que se extravió mientras se transportaba al departamento de destino. Lo anterior, no resulta incompatible con que VidaCaixa pudiera recibir el día 27/01/2017 por valija interna este informe médico junto con el resto de la documentación aportada por la denunciante tras serle requerida por segunda vez por CAIXABANK en torno al 20 de enero de 2017, incluida la solicitud de supuesto excepcional de liquidez correctamente cumplimentada y firmada por el beneficiario, para una vez recibida y analizada esta documentación, con fecha 06/02/2017 se cerrase el formulario con identificador nº ***IDEN.3, a través del cual VidaCaixa adelantó a CAIXABANK la resolución de denegación de la solicitud de rescate por no ajustarse a los requisitos establecidos en las especificaciones del plan (folio 118). En cualquier caso, lo que CAIXABANK entiende como documentación adicional solicitada por VidaCaixa a la ya físicamente recibida el 23/12/2016, esta Agencia lo interpreta como referida a la que debía enviarse en papel por valija en lugar de anexada al nuevo formulario que tenía que abrirse una vez rechazado el formulario con nº de identificador ***IDEN.1 de fecha 15/12/2016. A la vista de lo cual se considera que los formularios y resto de documentos aportados por CAIXABANK no acreditan que con fecha 23/12/2016 VidaCaixa recibiese por valija interna los documentos reseñados por la denunciante en su reclamación, como tampoco prueba que VidaCaixa recibiese el original del formulario ***IDEN.1 y la copia de dos facturas del Centro Médico A.A.A., S.L. que la denunciada afirma en sus alegaciones a la propuesta de resolución fueron recibidos en esa fecha. Se trata de meras afirmaciones de parte de CAIXABANK no sustentadas por el contenido de los formularios presentados, ya que ninguna mención se hace al respecto en los mismos, que tampoco han sido probadas mediante la aportación de otros medios de prueba acreditativos de la efectiva recepción por VidaCaixa de la documentación aportada por la denunciante que CAIXABANK envió por valija desde su oficina X.X.X.. A mayor abundamiento, el mero reflejo informático constituido por la impresión de pantalla de los sistemas de VidaCaixa donde, según la denunciada, constan las fechas en las que entraron los documentos físicos contenidos en las dos valijas no justifica, por sí mismo, que los documentos que constan como recibidos, en lo que ahora nos interesa, con fecha 23/12/2016 sean, efectivamente, los descritos por CAIXABANK en sus alegaciones a la propuesta de resolución o, en su caso, cualquier otro de los inicialmente aportados por la denunciante. A tenor de todo lo cual, ha quedado desvirtuado lo manifestado por la denunciada en sus alegaciones al acuerdo de inicio, cuando intentó enervar su responsabilidad en la comisión de la infracción en materia de seguridad de la que se le inculpa defendiendo que no había habido un extravío de la documentación de la afectada objeto de tratamiento por parte de la entidad, sino que se trataba de una simple incidencia en el envío de la valija interna que había provocado un retraso en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 el tiempo previsto de llegada de la documentación al departamento de destino. Ello, no obstante que mantenía que podía “realizarse el seguimiento de cualquier incidencia que pueda surgir de manera sobrevenida e informar a los reclamantes” y se había visto obligada a solicitar a la denunciante que aportara nuevamente la documentación con datos de carácter personal de salud presentada en su día. También enervan las alegaciones a la propuesta de resolución de la denunciada, en las que CAIXABANK pasa a afirmar que toda la documentación necesaria para analizar el posible rescate del plan de pensiones aportada por la denunciante y enviada por valija interna de CAIXABANK ha sido recibida por VidaCaixa, no habiéndose extraviado ningún documento en ningún momento, los argumentos expuestos hasta ahora, puesto que la situación denunciada de pérdida de la documentación entregada a mediados de diciembre de 2016 persiste a fecha de hoy, ya que los documentos aportados por CAIXABANK no prueban la recepción de la misma por VidaCaixa ni justifican el paradero exacto de la misma. Por lo tanto, no se trata de un mero retraso en la recepción de esa documentación o de que ésta no contuviera el tipo de documentos señalados por la denunciante, sino de la falta de acreditación de que CAIXABANK haya adoptado, amén de cumplido correctamente, las medidas de índole técnica y organizativas adecuadas para garantizar la seguridad y custodia de los documentos que incluyen datos de carácter personal de salud durante el traslado de los mismos a otros departamentos o entidades del grupo, y evitar, tal y como ha ocurrido en este caso, su perdida . Téngase en cuenta que a fecha de hoy CAIXABANK no ha probado, fehacientemente, que la primera valija enviada fuera recibida en el Departamento correspondiente de VidaCaixa. Finalmente, y en relación con lo mantenido por la denunciante, conviene puntualizar que analizadas las observaciones efectuadas por la oficina X.X.X. de CAIXABANK en la reclamación formulada ante la Junta de Andalucía por la denunciante el 20/01/2017 y vista, asimismo, la contestación efectuada a la misma por el Servicio de Atención al Cliente de esa entidad con fecha 27/01/2017, ha de rechazarse que la denunciante interpretase erróneamente que se había extraviado la documentación que aportó a mediados de diciembre de 2016 en la citada oficina bancaria. Igualmente, ha de rechazarse que fuera la mala comunicación entre VidaCaixa y CAIXABANK el motivo de esa interpretación, puesto que en ninguno de los formularios aportados por CAIXABANK consta que VidaCaixa confirmase o comunicase a la oficina X.X.X. que había recibido los documentos de la denunciante remitidos desde la misma por valija a mediados de diciembre de 2016. Al contrario, ocurre que en el formulario con identificador nº ***IDEN.3, creado con fecha 17/01/2017, dicha oficina indicaba lo siguiente en relación con el formulario anterior ***IDEN.1: “La documentación se mandó por valija en diciembre y seguimos sin respuesta de vuestra parte. Rogamos respuesta urgente para el cliente.” (folio 112). Por lo tanto, no es que la denunciante interpretase erróneamente que se había extraviado la reseñada documentación, es que CAIXABANK así lo reconoció a través de dichos escritos. V Con posterioridad a la recepción de la propuesta de resolución CAIXABANK ha justificado que disponía de documento de seguridad que contemplaba la adopción de medidas técnicas y organizativas de nivel alto referidas al traslado físico de documentación en papel para impedir el acceso o manipulación de la información objeto de traslado, y que en este caso afectaría a datos especialmente protegidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 referidos a datos de salud de clientes o terceros contenidos en la documentación en papel transportada a través de valija entre centros autorizados. Asimismo, como complemento a dichas medidas en materia de seguridad de datos de salud estarían las contempladas en la Norma 190, la cual se cita en el formulario ***IDEN.4 aportado por CAIXABANK, concretamente cuando desde el apartado “Comentarios para la oficina” VidaCaixa se recuerda a la oficina X.X.X. de CAIXABANK que no está permitido anexar a los formularios del buzón de oficina ningún documento que contenga datos de salud, ni custodiar en la oficina documentación que contenga este tipo de datos, detallándose, además, de conformidad con dicha Norma, las acciones a efectuar por la oficina para enviar a través de sobre valija la documentación en papel necesaria para tramitar la prestación solicitada por el cliente al departamento correspondiente de VidaCaixa, todo ello para garantizar la confidencialidad de los datos de salud objeto de tratamiento, y cuya sustracción, extravío o pérdida también deben evitarse con la implantación de las medidas necesarias. Sin perjuicio de lo cual, resulta relevante señalar que en materia de medidas de seguridad se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben permitir la efectiva localización de los documentos que contengan datos personales. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29 de junio de 2001). VI El artículo 44.3.
  42. h)tipifica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso CAIXABANK no ha acreditado haber adoptado las medidas que la normativa de protección de datos exige al responsable del fichero para garantizar la seguridad de los datos de carácter personal, al haber extraviado la documentación que contenía datos identificativos y de salud de la denunciante durante el traslado por valija interna de esa documentación. De acuerdo con los fundamentos anteriores, se deduce que por parte de la denunciada se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia la pérdida de la documentación inicialmente presentada por la denunciante, ya que no consta acreditado en el procedimiento que la documentación en papel aportada por la denunciante el día 15/12/2016 en la oficina de CAIXABANK, y que viajó en valija, se recibiera por esa vía de transporte en el centro de destino, es decir, por VidaCaixa. Por lo cual, no puede exonerarse de culpa a la denunciada por la comisión de la reseñada infracción grave, puesto que CAIXABANK pudo haber actuado de modo distinto a cómo lo hizo estableciendo medidas de control que permitieran un seguimiento y rastreo continuado del posicionamiento de la valija en el circuito interno autorizado para su transporte, ello a fin de dar respuesta adecuada a las exigencia de efectividad de las medidas de seguridad de gestión de soportes y documentos y de custodia de soportes formalmente adoptadas . VII El artículo 45.1, 2, 4 y 5 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  43. a)El carácter continuado de la infracción.
  44. b)El volumen de los tratamientos efectuados.
  45. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  46. d)El volumen de negocio o actividad del infractor.
  47. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  48. f)El grado de intencionalidad.
  49. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  50. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21
  51. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  52. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  53. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  54. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  55. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  56. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  57. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La Audiencia Nacional, en sus Sentencias de 24/05/2002 y 16/02/2005, ha señalado en cuanto a la aplicación del apartado 5 del citado precepto que “... la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. CAIXABANK ha solicitado que a los efectos de la reducción de la sanción aplique lo dispuesto en los apartados
  58. a)y
  59. b)del citado artículo 45.5 de la LOPD. se Sin embargo, en este supuesto, no se aprecia que la concurrencia de las circunstancias alegadas conlleve una cualificada disminución de la culpabilidad de la denunciada o de la antijuridicidad del hecho que justifique la minoración cualificada de la sanción a imponer contemplada en el artículo 45.5.
  60. a)de dicha Ley. Para ello se tiene en cuenta que la denunciada no ha justificado fehacientemente la efectiva recepción por VidaCaixa de la documentación aportada por la denunciante a mediados de diciembre de 2016 para tramitar su solicitud de liquidación del Plan de Pensiones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 comercializado por la denunciada. En cuanto a la aplicación del 45.5.
  61. b)de la LOPD, los argumentos expuestos en párrafo anterior evidencian que no puede considerarse la existencia de regularización diligente de la situación, a lo que se suma que para poder tramitar la petición de su cliente CAIXABANK debió solicitar a la misma en torno al 20 de enero de 2017 que aportase nuevamente la documentación requerida, lo que evidencia el extravío de tal documentación, situación que persiste transcurridos casi once meses después de la entrega de esa documentación el 15 de diciembre de 2017. Por otra parte, tampoco se produce ninguno de los otros supuestos recogidos en el reseñado artículo 45.5 de la LOPD para establecer la cuantía de la sanción aplicando la escala relativa a las infracciones leves. A los efectos de fijar la graduación de la sanción a imponer se considera que en este caso operan como agravantes los siguientes criterios del artículo 45.4 de la LOPD: la actividad de la denunciada está directamente vinculada a la realización de tratamientos de datos de carácter personal, pues la actividad empresarial desarrollada por ésta exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar la seguridad de los datos de carácter personal de los afectados tratados, (criterio 4.c); CAIXABANK es una de las principales entidades financieras del país tanto por volumen de negocio como por volumen de actividad desarrollados (criterio d); en lo que respecta a la naturaleza de los perjuicios causados a la denunciante, se tiene en cuenta que el riesgo de filtraciones o usos indebidos que el extravío de la documentación presentada inicialmente, y que incluía datos de salud de la afectada y de su cónyuge, ha conllevado para los titulares de esa información especialmente protegida, amén de que la denunciante debió aportar nuevamente dicha documentación a instancias de la oficina X.X.X. de CAIXABANK para que pudiera tramitarse el rescate del plan de pensiones solicitado al no constar que la documentación física hubiera llegado al centro de destino, tal y como figura en el apartado de la reclamación presentada por la denunciante ante la Junta de Andalucía correspondiente a las “Observaciones de la empresa sobre los Hechos Reclamados”(criterio 4.h); también se considera relevante a los efectos de determinar el grado de antijuridicidad del hecho que la denunciada continúa sin acreditar, a fecha actual, el paradero exacto de la documentación que fue entregada por la denunciante en la mencionada oficina X.X.X. de CAIXABANK a mediados de diciembre de 2016 ni aclarar la incidencia exacta que originó el extravío de los documentos, (criterio 4.j). Paralelamente, concurren como atenuantes los criterios
  62. e)y
  63. f)del artículo 45.4, toda vez que en este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción ni se aprecia la existencia de actuación intencionada. De esta forma, teniendo en cuenta los criterios de graduación de las sanciones recogidos en el artículo 45.4 de la LOPD se considera proporcional a la gravedad de los hechos analizados imponer a CAIXABANK una sanción por importe de 40.001 euros por la infracción del artículo 9 de la LOPD descrita. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CAIXABANK, S.A., por una infracción del artículo 9 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 de la LOPD en relación con los artículos 92.3 y 108 del RLOPD, tipificada como grave en el artículo 44.3.
  64. h)de la LOPD, una multa de 40.001 € (cuarenta mil un euros), de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  65. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.