PS-00255-2023

1/24 Expediente N.º: EXP202301519 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. y B.B.B. (en adelante la parte reclamante) con fecha 29/12/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO SANTANDER, S.A. con NIF A39000013 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El 31/03/2005, adquirió una vivienda a través de un préstamo con garantía hipotecaria suscrito con la reclamada cuya duración era de 35 años. En la escritura de préstamo, además de la garantía hipotecaria de la propia finca y de la responsabilidad personal de los prestatarios compradores, por parte de la mercantil Gardeblock, S.L. (como garantía añadida de devolución del préstamo hipotecario concedido) se constituyó también garantía hipotecaria sobre una vivienda unifamiliar propiedad de dicha mercantil. En fecha 27/06/2011 y de forma voluntaria, la mercantil Gardeblock, S.L. vendió a un tercero la vivienda unifamiliar que garantizaba la operación de préstamo de la parte reclamante, destinándose parte de la cantidad obtenida con la venta a liberar la responsabilidad hipotecaria pendiente de pago sobre la vivienda de la parte reclamante. En fecha 05/10/2021, la parte reclamante recibe demanda judicial de la citada mercantil, exigiendo el pago del importe que había abonado, pese a que la venta fue voluntaria y la deuda no vencía hasta el año 2040. Entre la documentación que acompañaba a la demanda, figuraba un certificado bancario expedido por la parte reclamada, de 25/06/ 2021, que contenía un listado con el cuadro de amortización del préstamo con garantía hipotecaria suscrito por la parte reclamante, que abarcaba desde el 21/06/2011 hasta la finalización del préstamo, esto es, todo el período posterior a la liberación de la responsabilidad de Gardeblock, S.L. A raíz de lo ocurrido, la parte reclamante presentó reclamación ante la parte reclamada, el ***FECHA.1, por facilitar datos bancarios a terceros ajenos a la operación, recibiendo respuesta en fecha ***FECHA.2, en la que la parte reclamada pide disculpas por lo ocurrido e indica lo siguiente: "Hemos abierto una investigación independiente para esclarecer los hechos y, si fuera necesario, tomar las medidas necesarias (tanto disciplinarias como procedimentales) para evitar que hechos así puedan volver a ocurrir. Tras revisar los hechos denunciados lamentablemente hemos confirmado que, tras una solicitud formal sobre la información de los pagos efectuados por la empresa Gardeblock, S.L. sobre un préstamo hipotecario, la sucursal adjuntó por un error humano información adicional de movimientos posteriores a la amortización finalmente efectuada por dicha empresa". Junto a la reclamación aporta acreditación de la representación, copia de la escritura del préstamo hipotecario, copia del certificado y de la documentación adjunta al mismo (cuadro de amortización), copia de la reclamación efectuada y de la respuesta recibida, documentación relativa a las comunicaciones mantenidas con la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 reclamada solicitando una compensación económica por lo sucedido y las correspondientes respuestas rechazando cualquier tipo de compensación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 08/02/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 09/02/2023 como consta en el acuse de recibo que obra en el expediente. El reclamado mediante escrito de 14/03/2023 señalaba: Que en su momento se concedió un préstamo a la reclamante, garantizado con una hipoteca sobre la vivienda que era objeto de adquisición y que se trataba de financiar; que el citado préstamo hipotecario además de estar garantizado por la citada vivienda estaba también garantizado por un inmueble que era titularidad de la empresa Gardeblock, SL, que comparecía en la escritura de préstamo como hipotecante no deudor. La mercantil Gardeblock, S.L. vendió a un tercero la vivienda unifamiliar, que garantizaba según aquella Cláusula Novena de la escritura de hipoteca el préstamo de la parte reclamante por hasta 94.000 euros de principal, más intereses ordinarios, intereses de demora y costas, y procedió a liberar la responsabilidad hipotecaria pendiente sobre la vivienda de la Gardeblock,S.L., mediante el pago a mi representada de la cantidad de 85.344,01 euros, por lo que se otorgó a favor de aquella entidad la escritura de cancelación de la hipoteca constituida, según el certificado expedido por el banco unido a la reclamación. Que recibido por la parte reclamante reclamación judicial por parte de aquella entidad, entre la documentación que acompañaba a la demanda, figura un certificado bancario expedido por la reclamada, que contiene un listado con el cuadro de amortización del préstamo con garantía hipotecaria suscrito por la parte reclamante, que abarcaba desde el 21 de junio de 2011 hasta la finalización del préstamo. Por este motivo, la reclamante formuló reclamación ante la reclamada por facilitar datos bancarios a terceros ajenos a la operación. A esta reclamación la Oficina de Privacidad respondió solicitando disculpas, manifestando que se tomaban medidas para evitar que volviera a suceder, todo ello como consecuencia de haberse producido una información por error extensiva a movimientos posteriores a la amortización del préstamo por la empresa ya referida. Los reclamantes han aportado ante la Agencia, además del certificado de la cancelación de la hipoteca de la empresa Gardeblock, dos tipos de documentos distintos: uno, que se identifica cómo Calendario de pagos y, otro, como Cuadro de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 operaciones emitidas; este segundo documento en el que se van reflejando los pagos de cada una de las cuotas de amortización y de intereses no se debió entregar. TERCERO: Con fecha 29/03/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 05/06/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción por la presunta infracción de los artículos 5.1.

1. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
2. a)y 83.4.
3. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio el reclamado presentó escrito de alegaciones el 22/06/2023 manifestando, en síntesis: que cuando se tuvo conocimiento del incidente se puso en funcionamiento el procedimiento interno de gestión de brechas de seguridad y la revisión de las actuaciones producidas y los hechos evidencian que la empleada de la oficina que finalmente entrega el listado de amortizaciones inicio y concluyo el proceso de consulta al Departamento que debía asesorarle, produciéndose un error humano en la interpretación de las instrucciones recibidas; que la entrega del certificado se produce por un defectuoso entendimiento por la empleada, aun estando asesorada, y ello por el hecho de no ser una operación sencilla, sino algo compleja por la presencia en el contrato de préstamo de un hipotecante no deudor que es parte del contrato, error que se entiende pueda concurrir en el marco de unas relaciones jurídicas en este tipo de contrato; que nos encontramos ante un error excusable y no una falta de diligencia. SEXTO: Con fecha 07/07/2023, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. SEPTIMO: Con fecha 04/04/2024 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara a la parte reclamada por infracción de los artículos 5.1.
4. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
5. a)y 83.4.
6. a)del RGPD, con multas de 50.000 € (cincuenta mil euros) y 20.000 € (veinte mil euros), respectivamente. Notificada la citada Propuesta, accediendo a su contenido el 08/04/2024, según consta en acuse de recibo, la parte reclamada en escrito de 22/04/2024 señalaba que había optado por proceder al pago voluntario de las sanciones en atención a las reducción es previstas en el artículo 85 de la LPACAP, con renuncia a cualquier recurso en vía administrativa, reconociendo su responsabilidad en relación con los hechos que han dado lugar al procedimiento. La parte reclamada adjuntaba justificante de haber efectuado el pago de las sanciones con la doble reducción, en atención, primero, al reconocimiento de responsabilidad y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 segundo, por pago en forma voluntaria antes de recaer la resolución del procedimiento, reducida a 42.000 euros. En escrito de fecha 03/05/2024 el instructor del procedimiento informo a la parte reclamada que el reconocimiento de la responsabilidad debía manifestarse iniciado el procedimiento, durante el plazo para formular alegaciones a la apertura del procedimiento de conformidad con lo señalado en el artículo 85 de la Ley 39/2015, para que fuera aplicable la reducción prevista del 20% sobre la sanción, a diferencia en relación con el descuento por pago voluntario de la sanción, que podriá aplicarse cuando dicho pago se produzca en cualquier momento anterior a la resolución; que el artículo 85.2 de la LPACAP se refiere de manera expresa y única al pago voluntario, y no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá producir en cualquier momento anterior a la resolución. Y que el artículo 85.3 señala que “En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción”, lo que supondría que ambas deben estar en el acuerdo de inicio, de manera que no contempla que ambas reducciones estén en la propuesta de resolución o que se puedan abonar acumulativamente en cualquier momento anterior a la resolución; que en base a todo ello se le concedía un plazo de tres días a fin de que manifiesten si se acogen o no a la única reducción a la que tienen derecho, indicado en la Propuesta de resolución, reducción por pago voluntario de las sanciones propuestas antes de recaer Resolución, efectuando el ingreso correspondiente. Con fecha 14/05/2024 la parte reclamada presento escrito de alegaciones en respuesta al instructor del procedimiento señalando en alegación única que ni en el artículo 85 de la LPACAP, ni en ningún otro precepto existe justificación laguna a la limitación que se pretende aplicar al amparo del apartado 1 del citado artículo, que la sentencia del TS de 06/10/2022 ya señala que efectivamente el artículo 85 establece y distingue dos modos de terminar el procedimiento, sin embargo esos modos no se distinguen por la existencia de unos desconocidos plazos temporales para su ejercicio sino por sus efectos posteriores y, finalmente, que la dicción del articulo 85.3 LPACAP avala la interpretación postulada por la parte reclamada. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 29/12/2022 tiene entrada en la AEPD escrito de la parte reclamante en el que manifiesta que el 31/03/2005 adquirió una vivienda a través de un préstamo con garantía hipotecaria suscrito con la parte reclamada. En la escritura de préstamo, se constituyó además con la mercantil Gardeblock, S.L. garantía hipotecaria sobre una vivienda unifamiliar propiedad de dicha mercantil. En fecha 27/06/2011 y de forma voluntaria, la mercantil Gardeblock, S.L. liberó su responsabilidad hipotecaria pendiente de pago sobre la vivienda de la parte reclamante. En fecha 05/10/2021, la parte reclamante recibe demanda judicial de la citada mercantil, exigiendo el pago del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 importe que había abonado, pese a que la venta fue voluntaria y la deuda no vencía hasta el año 2040. Entre la documentación que acompañaba a la demanda, figuraba un certificado bancario expedido por la parte reclamada, de 25/06/ 2021, que contenía un listado con el cuadro de amortización del préstamo con garantía hipotecaria suscrito por la parte reclamante, que abarcaba desde la liberación de la responsabilidad de Gardeblock, S.L. hasta la finalización del préstamo. La parte reclamante presentó reclamación ante la parte reclamada por facilitar datos bancarios a terceros ajenos a la operación, recibiendo respuesta en la que pide disculpas por lo ocurrido e indica lo siguiente: "Hemos abierto una investigación independiente para esclarecer los hechos y, si fuera necesario, tomar las medidas necesarias (tanto disciplinarias como procedimentales) para evitar que hechos así puedan volver a ocurrir. Tras revisar los hechos denunciados lamentablemente hemos confirmado que, tras una solicitud formal sobre la información de los pagos efectuados por la empresa Gardeblock, S.L. sobre un préstamo hipotecario, la sucursal adjuntó por un error humano información adicional de movimientos posteriores a la amortización finalmente efectuada por dicha empresa". SEGUNDO. Constan aportados los DNIs de los reclamantes. TERCERO. Consta aportado documento expedido por la parte reclamada en el que MANIFIESTA: “(…) Que en fecha 14 de noviembre de 2011, mediante escritura pública otorgada ante el Notario D. C.C.C. al número XXX de su protocolo, se otorgó cancelación de la carga hipotecaria inscrita sobre la finca registral número XXXX, tras la amortización extraordinaria del préstamo previamente descrito realizada por importe de 85.344,01 euros. Se acompaña como anexo al presente el cuadro de amortización del préstamo desde dicha fecha. Y para que conste expido el presente documento, a petición de D.D.D. en representación de Gardeblock, S.L., en Zaragoza a 21 de junio de 2021”. CUARTO. Consta aportado el Cuadro de Operaciones Emitidas y Calendario de pagos del préstamo otorgado. QUINTO. Consta escrito de 08/11/2021 del letrado de la parte reclamante dirigido a la parte reclamada en relación con la entrega sin consentimiento de documentación financiera confidencial a tercero (Gardeblock, S.L.), ajeno a la relación mercantil que mantienen su representados con la parte reclamada, utilizados para ejercitar acciones judiciales ajenos a sus intereses. SEXTO. Consta aportado representación del letrado de la parte reclamante y correos electrónicos cruzados entre el letrado y la parte reclamada de fechas 04/02/2022, 18/03/2022 y 27/04/2022, en los que entre otras se solicita compensación económica por los perjuicios ocasionados. SEPTIMO. Consta escrito remitido por la parte reclamada al letrado de la parte reclamante, de fecha 25/01/2022, manifestando que: “(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 Tras revisar los hechos denunciados lamentablemente hemos confirmado que tras una solicitud formal sobre la información de pagos efectuados por la empresa Gardeblock, S.L., sobre un préstamo hipotecario, la sucursal adjunto por un error humano información adicional de movimientos posteriores a la amortización finalmente efectuada por dicha empresa. (…)” OCTAVO. El reclamado ha aportado Circular C.028/2021 cuyo objeto es informar sobre el funcionamiento de las Unidades de Asesoramiento Jurídico especializado que se presta a la Red de Oficinas y demás Áreas del Santander España. NOVENO. El reclamado ha aportado Circular C.097-2019 con objeto de que las Oficinas que no podían obtener la información por las herramientas Santander, se creaba el nuevo servicio de datos históricos Popular. DECIMO. Constan impresiones de pantalla relativas a la actuación de la oficina con el departamento Atención Jurídica del Negocio (AJN). UNDECIMO. Consta correo electrónico enviado a AJN en el que figura lo siguiente: “De: E.E.E. <***EMAIL.1> (…) Sobre este asunto comentarles que la empresa Gardeblock S.l. a través del abogado … (se bastantearon los poderes antes de informar de nada), nos solicitó un certificado donde se indicara que la empresa había amortizado en la hipoteca de la parte reclamante un importe procedente de la venta del inmueble que les habían cedido como garantía. Nos aportaron escrituras de venta, copia del cheque y demás documentación. Con todo eso se solicitó a asesoría jurídica interna que nos indicara que hacer y la respuesta fue que solicitáramos a histórico popular más documentación ya que no teníamos información suficiente. Se solicitó todo y nos salía una discrepancia en el importe que ellos decían haber amortizado y el que salía en históricos popular. Volvimos a consulta con asesoría jurídica y nos indicó que certificáramos con el importe que nos salía a nosotros, facilitándonos el modelo de certificado y la documentación que teníamos que apórtarles, que era el cuadro de amortización desde esa fecha. Adjunto todas las consultas de asesoría jurídica, así como toda la documentación que hemos obtenido. (…)”. DUODECIMO. El reclamado ha aportado Informe final relativo a la incidencia y Análisis de Riesgos; el incidente es catalogado como moderado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 6 8.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestión Previa La parte reclamada, notificada la Propuesta de Resolución con fecha 08/04/2024, en escrito de 22/04/2024 manifestaba: “Que, de conformidad con lo previsto en el referido Acuerdo, mi representada ha optado por proceder, dentro del plazo concedido, al pago voluntario de las sanciones en atención a las reducciones previstas en el artículo 85 de la LPACAP, con renuncia caso de ser aceptado a cualquier recurso en vía administrativa, reconociendo su responsabilidad en relación con los hechos que han dado lugar a este procedimiento. Que como se acredita con el justificante de transferencia, que se acompaña, mi representada ha efectuado el pago de la sanción, con la doble reducción prevista en aquel precepto, en atención, primero, al reconocimiento de responsabilidad y, segundo, a la que procede por pago en forma voluntaria antes de recaer la resolución del procedimiento siempre que al mismo tiempo no se haya impuesto una sanción no pecuniaria, como consecuencia de lo cual, la sanción ha quedado reducida a 42.000 euros”. Con fecha 03/05/2024 el instructor del procedimiento informaba a la parte reclamada que la doble reducción no era posible ya que el reconocimiento de la responsabilidad debía manifestarse iniciado el procedimiento, durante el plazo para formular alegaciones a la apertura del procedimiento de conformidad con lo señalado en el artículo 85.1 de la Ley 39/2015, para que fuera aplicable la reducción prevista del 20% sobre la sanción, diferenciando de la reducción por pago voluntario de la sanción, que podría aplicarse cuando dicho pago se produzca en cualquier momento anterior a la resolución y se le concedía un plazo de tres días a fin de que manifestaran si se acogía o no a la única reducción a la que tenían derecho, indicado en la Propuesta de resolución. La parte reclamada ha alegado que ni en el artículo 85 de la LPACAP, ni en ningún otro precepto existe justificación a la limitación que se pretende aplicar al amparo de lo señalado en el artículo 85.1 de la LPACAP, estando de acuerdo en que tal reconocimiento de la responsabilidad debe hacerse “iniciado” el procedimiento, porque así lo dice expresamente en el citado precepto, pero lo que no dice dicho precepto es que tal reconocimiento ha de hacerse sólo “al inicio” del procedimiento, motivo por el que esta entidad no puede aceptar tal interpretación que considera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 restrictiva de sus derechos y, acude para fortalecer su alegato a la sentencia del TS 1260/2022, 6 de Octubre de 2022. Hay que señalar que la Propuesta de Resolución emitida en fecha 04/04/2024, en su en su parte dispositiva señalaba que: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a BANCO SANTANDER, S.A., con NIF A39000013, - Por la infracción del artículo 5.1.f), tipificada en el artículo 83.5.
7. a)del citado RGPD, una sanción de 50.000 € (cincuenta mil euros), y - Por la infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.
8. a)del citado RGPD, una sanción de 20.000 € (veinte mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 € (cincuenta y seis mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción”. Por otra parte, el artículo 85, Terminación en los procedimientos sancionadores, de la LPACAP establece que: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. El reconocimiento de la responsabilidad, como se señalaba en el Acuerdo de inicio, debe manifestarse iniciado el procedimiento, durante el plazo para formular alegaciones a la apertura del procedimiento. Ello de conformidad con lo establecido en el citado artículo 85 de la Ley 39/2015, según el cual el reconocimiento de la responsabilidad debe producirse “iniciado el procedimiento” para que sea aplicable la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 reducción prevista del 20% sobre la sanción, a diferencia de lo que se establece expresamente en relación con el descuento por pago voluntario de la sanción, que podrá aplicarse cuando dicho pago se produzca en cualquier momento anterior a la resolución. Si el citado precepto ha distinguido las condiciones en los dos modos de terminación voluntaria del procedimiento indicados, ninguna interpretación deberá igualar estas condiciones como si no existieran diferencias en su regulación. El artículo 85.2 de la LPACAP se refiere de manera expresa y única al pago voluntario, y no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá producir en cualquier momento anterior a la resolución. Así, no cabe distinguir u obligar donde la Ley no distingue u obliga. A mayor abundamiento, el artículo 85.3 indica que “En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción”, lo que supone que ambas deben estar en el acuerdo de inicio (remisión del artículo 85.1 al 64 de la LPACAP), de modo que no contempla que ambas reducciones estén en la propuesta de resolución o que se puedan abonar acumulativamente en cualquier momento anterior a la resolución. Así lo entiende también la Audiencia Nacional, Sala de lo Contenciosoadministrativo, Sección 1ª, que en su Sentencia de 05/02/2021, Rec. 41/2019, indica que el pago voluntario puede producirse en cualquier momento anterior a la resolución, mientras que la reducción por reconocimiento de la responsabilidad está ligada al acuerdo de inicio y a la previsión del artículo 64.2.
9. d)de la Ley 39/2015: “En cuanto a la infracción de lo previsto en los artículos 64 y 85 de la Ley 39/2015, que contemplan la posibilidad de reconocer la responsabilidad en el momento de la notificación de la resolución de inicio del procedimiento (art. 64.2.
10. d)y acogerse a las reducciones previstas en el artículo 85, en el acuerdo de inicio del procedimiento hay una expresa referencia a esos artículos, indicando que no resultan de aplicación los apartados 2 y 3 del artículo 85; además, en ningún momento el demandante ha mostrado su voluntad de reconocer la responsabilidad por la infracción sancionada y acogerse a la posibilidad establecida en dichos artículos (el pago voluntario puede hacerse en cualquier momento anterior a la resolución), por lo que procede desestimar también esta alegación”. Por último, en relación con la STS 1260/2022, de 06/10/ 2022, si bien relacionada con lo que trata de dilucidarse en el presente procedimiento sancionador, la cuestión sometida a debate en la Sección Quinta de la Sala de lo contenciosoadministrativo del TS era una cuestión completamente diferente: determinar si realmente se había producido la caducidad del procedimiento por haber transcurrido el plazo establecido para su tramitación, y vinculado a lo anterior, si debía entenderse que el procedimiento había terminado con el pago anticipado, con la reducción del 20%, que había aceptado la sancionada, sin necesidad de una ulterior resolución expresa, o si, por el contrario, la terminación del procedimiento no se produce sino cuando se dicta el acto expreso poniendo fin al mismo, es decir, con el acuerdo del Consejo de Ministros que es objeto de impugnación en este proceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 A mayor abundamiento, el Fundamento Primero, Objeto del recurso, se señala que: “(…) La propuesta de resolución recoge los hechos y calificación ya expuestos anteriormente, aun cuando se reduce la cuantía de la responsabilidad ocasionada al dominio público, siendo notificada a la interesada en fecha 19 de abril de 2021. El siguiente día 14 de mayo presenta escrito la sancionada en el que acepta los hechos imputados, acogiéndose a la facultad de pago voluntario de la sanción propuesta, con la reducción del 20 por 100, entregándosele carta de pago por el Organismo de Cuenca, que fue atendido por la sancionada (el subrayado es de la AEPD). (…)”. Por tanto, no aceptándose las alegaciones vertidas por la parte reclamada en su escrito de 14/05/12024, de que se admitan las reducciones solicitadas con posterioridad a la emisión de la Propuesta de Resolución, no puede considerarse que el interesado se haya acogido legalmente a ninguna de las dos reducciones previstas en el mencionado artículo 85, con lo que deberá ingresar el importe total de las multas correspondiente a las infracciones cometidas, sin reducción alguna, de conformidad con lo señalado en la parte dispositiva de esta Resolución. III Primera obligación incumplida: infracción del artículo 5.1.
11. f)del RGPD Los hechos reclamados se materializan en el acceso a los datos de la parte reclamante, como consecuencia de la información transmitida a un tercero por el reclamado en relación con un préstamo hipotecario suscrito por la parte reclamante, lo que podría conllevar la vulneración de la normativa en materia de protección de datos de carácter personal. El artículo 5 del RGPD, Principios relativos al tratamiento, establece que: “1. Los datos personales serán: (…)”
12. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” Asimismo, en el Considerando 39 se señala que “Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado ha vulnerado el artículo 5 del RGPD, principios relativos al tratamiento, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 lo relativo al principio de confidencialidad de los datos contenido en el apartado 1, letra f), al ser comunicado a un tercero, hipotecante no deudor, listado conteniendo el cuadro de amortización de préstamo con garantía hipotecaria suscrito por la parte reclamante, vulnerando el deber de confidencialidad e integridad de los datos. Este deber debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos y viene regulada en el citado artículo haciendo referencia al principio de integridad y confidencialidad como uno de los principios de la protección de datos: En la respuesta ofrecida al requerimiento de información efectuado por la AEPD, en fecha 13/03/2023, ratificado en el escrito de alegaciones al acuerdo de inicio, el reclamado manifestaba: “En fecha 5 de octubre de 2021, la parte reclamante recibe una demanda judicial de la citada mercantil, exigiendo el pago del importe que había abonado, pese a que la venta fue voluntaria y la deuda no vencía hasta el año 2040. Entre la documentación que acompañaba a la demanda, figuraba un certificado bancario expedido por la parte reclamada, en fecha 25 de junio de 2021, que contenía un listado con el cuadro de amortización del préstamo con garantía hipotecaria suscrito por la parte reclamante, que abarcaba desde el 21 de junio de 2011 hasta la finalización del préstamo, esto es, todo el período posterior a la liberación de la responsabilidad de Gardeblock, S.L.” Y en escrito de 21/06/2023 manifestaba que “se ha producido una entrega inadecuada de datos por la persona encargada de entregar el certificado que origina estas actuaciones debido a su defectuoso entendimiento del asesoramiento recibido en relación una relación contractual compleja” (los subrayados corresponden a la AEPD). Asimismo, en el Informe elaborado a raíz de la incidencia se indica que “… desde el momento en que el Banco libera de responsabilidad la finca titularidad de Gardeblock, debe considerarse excesivo facilitar la información relativa al contrato y sus movimientos desde dicha fecha, tal y como se ha producido”. El deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. Por tanto, la actuación llevada a cabo por el reclamado permitiendo el acceso a la información bancaria de la parte reclamante por un tercero supone la vulneración del artículo 5.1.
13. f)del RGPD, infracción tipificada en el artículo 83.5.
14. a)del citado RGPD. IV Tipificación de la infracción del artículo 5.1.
15. f)del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
16. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción de del artículo 5.1.
18. f)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
19. a)a
20. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
21. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
22. b)la intencionalidad o negligencia en la infracción;
23. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24
24. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
25. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
26. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
27. g)las categorías de los datos de carácter personal afectados por la infracción;
28. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
29. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
30. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
31. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
32. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
34. a)El carácter continuado de la infracción.
35. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
36. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
37. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
38. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
39. f)La afectación a los derechos de los menores.
40. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
41. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción del artículo 5.1.
42. f)del RGPD, tipificada en el artículo 83.5.
43. a)del RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los siguientes factores, como circunstancias agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de la confidencialidad de los mismos, que la norma sanciona con la mayor gravedad al posibilitar con su actuación el acceso a un tercero que no estaba legitimado con los perjuicios que ello puede conllevar pues la información bancaria facilitada fue utilizada por la citada empresa (el tercero), adjuntándolos a la demanda judicial contra la parte reclamante, exigiéndole el pago del importe que había sido abonado (artículo 83.2,
44. a)del RGPD). La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal de sus clientes por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
45. b)de la LOPDGDD en relación con el artículo 83.2.k). La intencionalidad o negligencia en la infracción; se observa una grave falta de diligencia en la actuación de la reclamada puesto que la cesión de la información a un tercero constituye un ilícito para el que no estaba legitimado. Conectado también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
46. b)del RGPD). El volumen de negocio del reclamado pues se trata de una de las entidades financieras líderes dentro del mercado español, por su objeto de negocio (artículo 83.2,
47. k)del RGPD). Con arreglo a lo que antecede se estima adecuado establecer una sanción de 50.000 euros por vulneración del artículo 5.1.
48. f)del RGPD. VI Segunda obligación incumplida: infracción del artículo 32.1 del RGPD El artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
49. a)la seudonimización y el cifrado de datos personales;
50. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
51. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
52. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado ha vulnerado el artículo 32.1 del RGPD, al producirse un incidente de seguridad, motivado por la ausencia de diligencia en el cumplimento de las medidas implantadas de carácter técnico y organizativas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “