PS-00343-2021

1/6  Expediente Nº: PS/00343/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IBERCAJA BANCO, S.A. con NIF A99319030 (en adelante, la parte reclamada). El motivo en que basa la reclamación es el tratamiento sin consentimiento de sus datos personales ya que se contrató a su nombre, tanto una cuenta de valores, como una cuenta corriente asociada a la misma, utilizadas para el reparto de una herencia en la que concurría con otros herederos. Manifiesta que su firma se falsificó en los contratos. Aporta la siguiente documentación: - Contrato de cuenta de depósito a la vista sin firmar, en la que figura como titular junto con otras 4 personas. - Contrato de custodia y administración de valores y apertura de cuenta de valores en la que figura como única titular y que se encuentra firmado. - Denuncia interpuesta ante la Policía por la suscripción de estos dos contratos sin su consentimiento y falsificando su firma. - Reclamación interpuesta ante UNICAJA y respuesta obtenida. - Reclamación interpuesta ante el Banco de España. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 9 de marzo de 2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 16 de abril de 2021 se recibe en esta Agencia escrito de respuesta indicando que con objeto de proceder al reparto de participaciones en fondos de inversión titularidad del familiar fallecido, se procedió a la apertura de una cuenta de administración y custodia (cuenta de valores) a nombre de cada heredero, entre ellos la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Dicha cuenta fue abierta en los servicios centrales, en la unidad encargada de gestionar las testamentarias y el documento contractual fue impreso en papel en la oficina de Quintanar de la Serena, siendo escaneado en la aplicación con la firma de su titular que pudo ser recogida en cualquier oficina en la que la reclamante realizase habitualmente sus gestiones. A su vez, es necesario por motivos operativos que dicha cuenta de valores tenga vinculada una cuenta de ahorro como soporte de adeudos y abonos. Por ello se abrió una cuenta de ahorro a nombre de todos los herederos y que responde a la necesidad de asociar una cuenta de ahorro a cada una de las cuentas de valores adjudicadas a cada heredero. Esta Agencia pone de manifiesto que la entidad reclamada no ha aportado copia del contrato de cuenta de ahorro suscrito por la reclamante. TERCERO: Con fecha 11 de junio de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 18 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, el reclamado el 10 de noviembre de 2021, presentó escrito de alegaciones en el que, en síntesis, manifestaba que la reclamación interpuesta por la reclamante es consecuencia de la apertura de dos cuentas a nombre de A.A.A. con la finalidad de tramitar el reparto de la herencia de su tío, B.B.B., como consecuencia de diferentes productos financieros que este tenía en IBERCAJA BANCO. En dicho escrito de alegaciones se manifiesta, por tanto, que los hechos objeto de esta reclamación son objeto del reparto y adjudicación de los bienes de la herencia de B.B.B., depositados en la entidad financiera reclamada. El sujeto causante, B.B.B. falleció el 9 de octubre de 2017, lo cual se acredita mediante certificado de defunción La reclamante, A.A.A., solicitó el 22 de septiembre de 2018 que se realizase el reparto de la cuentas corrientes y fondos de inversión, en las que el causante figura como titular, según lo dispuesto en la declaración de herederos otorgada ante notario el 28 de febrero de 2018, señalando que el porcentaje del importe del saldo de la cuenta corriente ***CUENTA.1 que le corresponda según dicha declaración de herederos se transfiera a la cuenta ***CUENTA.2, así como el porcentaje de los fondos de inversión que le corresponda según dicha declaración de herederos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Por lo que en cumplimiento de su solicitud el 15 de octubre de 2018, la entidad reclamada procede a transferir el importe correspondiente a la cuenta que indica la reclamante. La entidad reclamada manifiesta que para cambiar la titularidad de las participaciones de los fondos de inversión del fallecido, se precisa de la apertura de una cuenta de administración y custodia (cuenta de valores) a nombre de cada uno de los herederos, a la que se traspasarán las participaciones de los fondos de inversión adjudicadas a cada uno de ellos como consecuencia de la herencia, con el valor liquidativo que éstas tenían en el momento del fallecimiento, que es la fecha en que son adquiridas. Dicha actuación se justifica en base a la Memoria de Reclamaciones de la Comisión Nacional del Mercado de Valores correspondiente al ejercicio 2017, en relación al cambio de titularidad accesible a través de la web www.cnmv.es, concretamente en https://www.cnmv.es/portal/Publicaciones/PublicacionesGN.aspx?id=23 se da acceso a las diferentes memorias anuales sobre reclamaciones y consultas, de manera que accediendo a la del año 2017, en la página 211 se indica lo siguiente: “(…) En este sentido, es importante destacar que para que los herederos puedan disponer de los valores adquiridos por causa de muerte es necesario realizar previamente el cambio de titularidad. Este es el último trámite que ha de cumplimentarse para que los herederos puedan ejercer todos los derechos vinculados a la propiedad de los valores adquiridos de acuerdo con lo que disponga el cuaderno particional. Con carácter previo a la realización del cambio de la titularidad de los instrumentos financieros adquiridos mortis causa, es necesario que los beneficiarios tengan abiertas cuentas de valores cuyos titulares han de ser los mismos que aquellos que resulten adjudicatarios de los bienes afectos a la herencia —de titularidad compartida en caso de que se mantenga la herencia en pro indiviso o de titularidad individual en caso de que se proceda a adjudicar a cada heredero los bienes resultantes del reparto de esta— para que se depositen en ellas los valores adjudicados. Estas cuentas pueden estar en la misma entidad en la que tenía depositados los valores el fallecido o en otra distinta.” Por todo ello, la entidad reclamada considera que no se ha infringido el artículo 6 del RGPD dado que la interesada dio su consentimiento para el tratamiento de los datos con la finalidad de transferir a su nombre las participaciones de los fondos de inversión del fallecido, puesto que en la carta de fecha 22 de septiembre de 2018 solicita y en consecuencia autoriza dicho cambio de titularidad con todas las operaciones que dicho trámite conlleva entre ellas la apertura de ambas cuentas. SEXTO: Con fecha 1 de diciembre de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, así como los documentos aportados por el reclamado en fecha 10 de noviembre de

1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El tratamiento de los datos personales de la reclamante, sin su consentimiento, ya que se contrató a su nombre, tanto una cuenta de valores, como una cuenta corriente asociada a la misma, utilizadas para el reparto de una herencia en la que concurría con otros herederos. SEGUNDO: La entidad reclamada, con objeto de proceder al reparto de participaciones en fondos de inversión titularidad de un familiar fallecido de la reclamante, procedió a la apertura de una cuenta de administración y custodia (cuenta de valores) a nombre de cada heredero, entre ellos la reclamante. En escrito de alegaciones se aporta:  documento de fecha 26 de marzo de 2018, donde la reclamante firma una autorización a la entidad reclamada para entregar los bienes del sujeto causante, B.B.B., a los herederos, entre los que se encuentra la reclamante.  carta de 22 de septiembre de 2018, en la que la reclamante solicita al departamento jurídico de la entidad reclamada que realice el reparto correspondiente de las cuentas corrientes y fondos de inversión, en las que el causante era titular, así como el porcentaje del importe de la cuenta corriente ***CUENTA.1 y se transfiera a la cuenta ***CUENTA.2, para que pueda disponer de dichos fondos y que una vez finalizados todos estos trámites se proceda a la cancelación de las cuentas en las que el causante figura como titular. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su artículo 4.11 define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En este sentido, el artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte el artículo 6 del RGPD, establece lo siguiente: “
2. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III En el supuesto aquí analizado, ha quedado acreditado que la entidad reclamada ha procedido a la apertura de una cuenta corriente a nombre de la reclamante lo cual podría suponer una vulneración del artículo 6 del RGPD por parte del reclamado si no cuenta con el consentimiento de la reclamante. De las recientes actuaciones de investigación realizadas por esta Agencia, se ha acreditado que la reclamante firmó el 26 de marzo de 2018 una autorización a la entidad reclamada para entregar los bienes del sujeto causante, B.B.B., y solicitó el 22 de septiembre de 2018, al departamento jurídico de la entidad reclamada que esta realizase el reparto correspondiente de las cuentas corrientes y fondos de inversión, en las que el causante era titular. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Se ha constatado además que la entidad reclamada ha actuado de conformidad con las directrices marcadas por la Comisión Nacional del Mercado de Valores, la cual aconseja la apertura de una cuenta valor ante un cambio de titularidad, en los supuestos de sucesión, señalando en concreto lo siguiente: “Con carácter previo a la realización del cambio de la titularidad de los instrumentos financieros adquiridos mortis causa, es necesario que los beneficiarios tengan abiertas cuentas de valores cuyos titulares han de ser los mismos que aquellos que resulten adjudicatarios de los bienes afectos a la herencia —de titularidad compartida en caso de que se mantenga la herencia en pro indiviso o de titularidad individual en caso de que se proceda a adjudicar a cada heredero los bienes resultantes del reparto de esta — para que se depositen en ellas los valores adjudicados. Estas cuentas pueden estar en la misma entidad en la que tenía depositados los valores el fallecido o en otra distinta.” Así las cosas, se considera que la actuación de la entidad reclamada ha sido adecuada a derecho, ya que actuó en respuesta a la solicitud de la reclamante remitida al departamento jurídico de la entidad reclamada el 22 de septiembre de 2018, donde requería que se procediese al reparto de las cuentas corrientes y fondos de inversión, y llevó a cabo dichas actuaciones siguiendo las directrices marcadas por la Comisión Nacional del Mercado de Valores. IV Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es