1/12 Procedimiento PS/00358/2016 RESOLUCIÓN: R/00347/2017 En el procedimiento sancionador PS/00358/2016, instruido por la Agencia Española de Protección de Datos a la entidad Banco Santander SA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13 de septiembre de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que: <<<El Banco Santander ofrece recientemente una nueva aplicación para iPhone llamada Santander Wallet, cuyas características pueden ver en la Apple Store aquí: https: // itunes .apple .com /es/ app /Santander /id408043474? mt=8 Esta aplicación dispone de una funcionalidad llamada "Pagos a Móvil", que permite transferir dinero desde nuestra cuenta, a otra cuenta de otro cliente dado de alta en este servicio, con tan solo indicar el número de teléfono móvil. Si simulamos una nueva operación con un número de móvil, sin finalizarla ni tan siquiera introducir una clave, antes de la confirmación nos ofrece como resultado los datos completos de apellidos y nombre del cliente destino, así como el número de cuenta completo del mismo cliente. Que se revele con tanta facilidad los datos a partir de la introducción del número móvil, no me parece normal. Como comparación, pongo la aplicación que permite hacer lo mismo en La Caixa. En esta entidad nos obliga a nosotros a poner, además del número móvil, el nombre y apellidos del destinatario, es decir, no nos lo da la entidad, y como resultado nos dice que se ha realizado el traspaso, sin detallarnos el número de cuenta destino, ni siquiera tras poner la clave y terminar la operación. El Banco de Santander, a través de esta aplicación, ofrece los datos personales de sus clientes, con tan solo introducir su teléfono móvil. Yo no lo veo normal. Adjunto pantallazos del proceso, simulando mi cónyuge que me envía dinero, donde se aprecia los hechos denunciados. No confundir los números de cuenta origen y destino, pues casualmente las últimas tres cifras son iguales, pero se trata de cuentas diferentes, cuya titularidad es única para la persona origen (mi cónyuge), y cuenta destino (solo yo titular). Tenemos varias cuentas en el banco ambos, y he elegido unas cuentas antiguas sin saldo para la simulación. Es curioso que no hace falta tener ni el dinero simulado que ponemos vamos a enviar, para que nos de los datos personales del destinatario. >>>. SEGUNDO: A la vista de la denuncia y documentación presentadas se ordena la apertura de actuaciones previas de investigación (E/00100/2016). La Inspección de Datos realiza actuación de investigación personándose en establecimiento de Banco Santander levantando la correspondiente acta incorporando en anexo los documentos que estiman pertinentes. Concluyen las actuaciones con el preceptivo informe: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 <<< Con fecha 27 de mayo se ha realizado una Inspección en el Banco Santander SA, en relación con los hechos denunciados. En la Inspección los representantes de la entidad han facilitado la siguiente información: 1 --- Según han manifestado: a. La aplicación WALLET, se puede descargar en los dispositivos móviles tanto con sistema operativo IOS (iPhone) como ANDROID. b. El acceso a la aplicación se realiza con el mismo usuario y contraseña con la que el cliente accede a la Banca Electrónica en la página web de la entidad y sus condiciones de utilización son las que figuran en el contrato de Banca Electrónica (contrato Multicanal), del que aportan una copia (Doc. 4 del Acta de Inspección). c. La aplicación permite, entre otras funcionalidades, realizar transferencias a otras cuentas bancarias, ya sean de clientes o no de la entidad. Para efectuar una transferencia solo es necesario conocer el número de teléfono móvil del destinatario de la misma. d. El destinatario de la transferencia, la primera vez que se le informa de un envío de dinero por este medio, recibe un SMS en el que se le informa del importe que se le va a transferir, e incluye además un código de activación y un enlace a las instrucciones de activación en la página web de la entidad, en la que debe registrarse mediante el código recibido, su número de teléfono y su número de cuenta bancaria. e. Para recibir transferencias desde la aplicación, es necesario realizar, por parte del destinatario, el registro de sus datos (nombre y apellidos y número de cuenta) en la página web de la entidad. Este registro se realiza una sola vez y tiene por objeto asociar el número de teléfono con el número de cuenta en la que desea recibir la transferencia, que puede ser de cualquier entidad financiera. f. Una vez realizado el registro por parte del destinatario, el emisor recibe una confirmación de la transferencia con los datos de nombre y apellidos y número de cuenta bancaria que ha registrado el destinatario, anticipando la información que se va a reflejar en los movimientos y en los extractos de la cuenta bancaria del emisor. 2 --- En la Inspección se ha tenido acceso a la citada aplicación, desde un dispositivo móvil de uno de los trabajadores del Banco que a su vez es cliente y usuario de WALLET y que se encuentra presente durante la inspección. Una vez realizado el acceso, con su usuario y contraseña, se comprueba que: a. La aplicación dispone de una opción denominada “Pagos a móvil” que permite enviar dinero a una persona conociendo su número de teléfono, este se puede obtener directamente de la Agenda del teléfono o teclearlo. Una vez seleccionado el teléfono (en este caso de una persona que, según manifiestan también es cliente y ya ha registrado sus datos como destinatario de pagos por este medio) se introduce el importe a transferir, el código de firma electrónica del cliente y un código de seguridad que recibe el cliente mediante SMS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Tras realizar la transferencia la aplicación informa de que la operación se ha realizado con éxito y muestra los datos de nombre y apellidos y número de cuenta del destinatario. b. A continuación y desde el mismo dispositivo móvil, con el mismo usuario se realiza una nueva transferencia a un número de teléfono móvil que no se ha registrado como receptor de pagos por este medio, comprobando que en el terminal del móvil facilitado se recibe un SMS con el siguiente contenido: “Santander Info: Te han enviado 0,01€ a través de Wallet, código de activación xxxxxxxx. Instrucciones de activación en https : / / www . bsan . mobi / recibe direno . html”. Así mismo, en el dispositivo del emisor le informan de que la operación está pendiente de registro porque el teléfono de destino no se encuentra registrado en el servicio. c. A continuación se accede a la citada dirección de internet, comprobando que hay que facilitar el código recibido por SMS, el número de teléfono y la cantidad a recibir y a continuación solicita el número de cuenta bancaria donde ingresar los envíos y el nombre y apellidos del titular de la cuenta, que según manifiesta puede no ser cliente del Banco de Santander. En esta pantalla se muestra la siguiente información “La prestación del presente servicio requiere el tratamiento de los datos personales aportados por el cliente en este momento (nombre, número de teléfono y código cuenta cliente) y respecto de los cuales el Banco se compromete a tratarlos únicamente conforme a las instrucciones recibidas del mismo así como a no utilizarlos para un fin distinto de la prestación de los Servicios ofrecidos en Santander Wallet. Los datos personales aportados no serán comunicados ni siquiera para su conservación a otras personas”. 3 --- Por otra parte, a través de la página web de la entidad, se pueden modificar o dar de baja los datos que se han registrado como destinatario de trasferencias a través de la aplicación (Doc. 2 del Acta de Inspección). >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Banco Santander SA ha incumplido su deber de secreto profesional con los datos personales de un cliente al permitir que otro cliente al realizar una gestión bancaria accediera a dichos datos sin que fuera necesario para dicha operación. CUARTO Con fecha 02/09/16 por la Directora de la Agencia Española de Protección de Datos se acuerda Iniciar procedimiento sancionador a Banco Santander SA con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica, respectivamente. QUINTO: Notificado el acuerdo de inicio a Banco Santander SA, solicita y recibe copia del expediente y formula alegaciones. Alega que no hay razones fundadas para el inicio del procedimiento sancionador, al no resultar de lo actuado que su conducta sea constitutiva de infracción. Que el informe de la Inspección no confirma que los datos del destinatario de la operación –en especial el número de cuenta- no aparezcan con solo introducir en la aplicación su teléfono. Que las fotocopias aportadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 por el denunciante no pueden estimarse veraces y no muestra la secuencia completa de la operación, solo dos momentos descontextualizados. Que una vez realizada la transferencia la aplicación muestra el importe transferido y a que cuenta del destinatario, algo similar al justificante que se da cuando se hace una transferencia online por internet o por ventanilla, datos que se reflejan en la cuenta del emisor y del destinatario. SEXTO: Con fecha 21/09/16 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, junto con los documentos generados en las actuaciones previas de Inspección y las alegaciones de la imputada. La denunciada amplía sus alegaciones con anotaciones sobre los pormenores del procedimiento que utiliza la aplicación de móvil a que se refiere la denuncia y aporta impresiones de las pantallas generadas en ese procedimiento en relación con las aportadas por el denunciante con su denuncia y que no fueron objeto de impresión por los inspectores actuantes. SÉPTIMO: El 16/01/17 el instructor del procedimiento emitio propuesta de resolución sancionadora consistente en que por la Directora de la AEPD se sancione a la denunciada con una multa de 40.001 € por la infracción del art. 10 de la LOPD, tipificada como grave en el art. 44.3.
- d)de la misma norma. Notificada la propuesta, el Banco Santander SA presento alegaciones. Solicita el archivo del expediente. Alega que: <<< … , de la investigación realizada en la fase de actuaciones previas no se ha constatado no ya la veracidad de la denuncia, sino tampoco que la operativa realizada a través de Wallet arroje el resultado manifestado en la denuncia. … , la Propuesta parte de unos Hechos Probados que sustancialmente resultan de una operativa realizada mediante la aplicación BIZUM, tal como en ellos se dice. Pero es que la aplicación BIZUM no se confunde con la aplicación inicial de Wallet existente en la fecha en que se producen los hechos si se considera que Wallet en la época de la denuncia solo permitía trasferencias de Banco Santander a Banco Santander y era un desarrollo específico de este banco. BiZUM, que es una aplicación no creada por mi representada que permite trasferencias entre todos los bancos adheridos, no es utilizada por el Banco Santander como funcionalidad de Wallet hasta primeros de octubre de 2016, más de un año después de que se presentara la denuncia, … . … el denunciante ni siquiera se ha molestado en mostrar la secuencia completa de la operación refiriéndose solo, aparentemente, a dos momentos descontextualizados del conjunto de la misma, de modo que impide conocer el conjunto de secuencias de la misma que se han producido y cómo lo han hecho. … la investigación llevada a cabo por la Inspección de la propia Agencia, cuya competencia está fuera de toda duda, no ha confirmado tales hechos, lo que era precisamente el objeto de su investigación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 … A la vista de las consideraciones que preceden y de la prueba practicada entendemos que no cabe estimar que en el expediente esté acreditado, con las mínimas condiciones de certeza exigibles y necesarias para entender destruido el principio constitucional de presunción de inocencia, que la operativa ofrecida por la aplicación Wallet en las fechas en que se produce la denuncia permite, con infracción del deber de secreto profesional, conocer datos personales que no son necesarios para realizar una trasferencia, conclusión que está avalada , además , por el resultado de la Inspección practicada por la propia Agencia que ha tenido ocasión de comprobar la operativa y no ha observado en absoluto la deficiencia denunciada. >>> De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1 --- El Banco Santander SA tiene a disposición de sus clientes una aplicación para móvil (Wallet) que permite, entre otras operaciones, realizar desde el smartphone del cliente -asociado a su cuenta bancaria- transferencia de dinero a la cuenta bancaria de otra persona –también asociado a un smartphone -. 2 --- El 27/05/16 los Inspectores de Datos de la AEPD en la sede social de la denunciada, en presencia del abogado (B.B.B.) y el director de seguridad de la información (C.C.C.) de la entidad, desde un dispositivo móvil de un empleado del banco acceden a la aplicación Wallet dejan constancia en el acta de inspección de lo observado: <<< a. La aplicación dispone de una opción denominada “Pagos a móvil” que permite enviar dinero a una persona conociendo su número de teléfono, este se puede obtener directamente de la Agenda del teléfono o teclearlo. Una vez seleccionado el teléfono (en este caso de una persona que, según manifiestan también es cliente y ya ha registrado sus datos como destinatario de pagos por este medio) se introduce el importe a transferir, el código de firma electrónica del cliente y un código de seguridad que recibe el cliente mediante SMS. Tras realizar la transferencia la aplicación informa de que la operación se ha realizado con éxito y muestra los datos de nombre y apellidos y número de cuenta del destinatario. b. A continuación y desde el mismo dispositivo móvil, con el mismo usuario se realiza una nueva transferencia a un número de teléfono móvil que no se ha registrado como receptor de pagos por este medio, comprobando que en el terminal del móvil facilitado se recibe un SMS con el siguiente contenido: “Santander Info: Te han enviado 0,01€ a través de Wallet, código de activación xxxxxxxx. Instrucciones de activación en https : / / www . bsan . mobi / recibe direno . html”. Así mismo, en el dispositivo del emisor le informan de que la operación está pendiente de registro porque el teléfono de destino no se encuentra registrado en el servicio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 c. A continuación se accede a la citada dirección de internet, comprobando que hay que facilitar el código recibido por SMS, el número de teléfono y la cantidad a recibir y a continuación solicita el número de cuenta bancaria donde ingresar los envíos y el nombre y apellidos del titular de la cuenta, que según manifiesta puede no ser cliente del Banco de Santander. En esta pantalla se muestra la siguiente información “La prestación del presente servicio requiere el tratamiento de los datos personales aportados por el cliente en este momento (nombre, número de teléfono y código cuenta cliente) y respecto de los cuales el Banco se compromete a tratarlos únicamente conforme a las instrucciones recibidas del mismo así como a no utilizarlos para un fin distinto de la prestación de los Servicios ofrecidos en Santander Wallet. Los datos personales aportados no serán comunicados ni siquiera para su conservación a otras personas”. 3 --- Los datos que el destinatario ha introducido quedan asociados al número de teléfono al que fue dirigido el mensaje y la transferencia de dinero. Cuando ese número de teléfono es introducido de nuevo como destinatario de otra transferencia similar inmediatamente aparecen los datos de identidad de la persona y de la cuenta bancaria de la que es titular. 4 --- El denunciante (A.A.A.) con su escrito (entrada de 13/09/15 en la AEPD) de denuncia acompaña impresión de dos páginas impresas: -En la primera se contiene pantalla de un Smartphone al realizar con la aplicación de Santander Wallet, Pagos a Móvil: 1 Cuenta de origen: ICTA AHORRO SOVIRA, ES ********1, 0.01 €. 2 Destinatario: ***TEL.1, residente en España. 3 Cantidad: 1 € -En la segunda se contiene pantalla de un Smartphone al realizar con la aplicación de Santander Wallet, Pagos a Móvil: Origen: ICTA AHORRO SOVIRA, ES ********1, 0.01 €. Destino: A.A.A., ********2, ***TEL.1. Importe y gastos: Importe: 1,00€, Gastos: 0,00€, Gastos de correo: 0,00€; Concepto: . Clave de firma: Introduce las posiciones 1, 4, 7, 8. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Banco Santander SA es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del deber de secreto en el 10 de la LOPD. La persona denunciante concluye que la utilización de la aplicación informatica para Smartphone Santander Wallet que el banco pone a disposición de sus clientes permite conocer el número de cuenta bancaria y el nombre y apellidos del destinatario sin que sea necesario para la operación. Las páginas aportadas por la persona denunciante no tienen signos de haber sido manipuladas, como sugiere la denuncia en sus alegaciones: "… el denunciante ni siquiera se ha molestado en mostrar la secuencia completa de la operación refiriéndose solo, aparentemente, a dos momentos descontextualizados del conjunto de la misma, de modo que impide conocer el conjunto de secuencias de la misma que se han producido y cómo lo han hecho". Las impresiones de pantallas incorporadas como anexos al acta de inspección no la contradicen, al contrario, refuerzan la afirmación de la denunciante. Ambas páginas, y por el orden que se reflejan en los hechos probados, forman una secuencia en la acción de pagos a móvil de la aplicación Santander Wallet. El ordenante una vez elegida su cuenta de cargo, introduce el número de móvil del destinatario y el importe a pagar, presiona continuar y la nueva pantalla le muestra los datos de destino con el nombre apellidos y código cuenta corriente junto al móvil del destinatario. Todo ello antes de dar la orden con la clave de firma. Tenga o no intención de hacer ese pago, con solo introducir un numero u otro de móvil puede tener acceso a esos datos de carácter personal asociados a cualquier teléfono de usuario/destinatario de esa aplicación. De la observación de los inspectores en las oficinas de la denunciada y los documentos aportados al procedimiento se observa que esos datos han sido aportados por la persona titular de los mismos como destinataria al aceptar el envío de dinero en una anterior ocasión y no haberlos cancelado posteriormente. Pero, del análisis del operativo de la aplicación no se deduce que sea necesario conservarlos ni tampoco mostrarlos en una operación posterior. En conclusión Banco Santander SA, como responsable de la actuación denunciada y que se refleja en los hechos probados, ha actuado sin tener en cuenta su deber de secreto profesional sobre los datos de sus clientes y de las personas que en sus operaciones bancarias intervienen. III El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” En el presente caso partimos del hecho de que datos personales de una cliente o persona interviniente en una operación financiera efectuada en el desarrollo de su actividad societaria, han sido accesibles a un tercero. Este criterio sigue la doctrina de la Audiencia Nacional, en su sentencia 843/2010 de 25/02/10 ante el recurso 226/2009, que establece: <<< La recurrente, como responsable del fichero, seguía siendo garante de los datos de los usuarios que se habían incorporado al mismo. …, pero también es cierto que un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. … La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
- g)de la citada norma, es decir la vulneración del deber de guardar secreto sobre datos personales incorporados a ficheros, …. >>> El deber de secreto profesional que incumbe a “el responsable del fichero y a quienes intervengan en cualquier fase del tratamiento…”, recogido en el artículo 10 de la LOPD, comporta que éstos no puedan revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de marzo, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. La actuación es imputable a la entidad denunciada, que incurre en una infracción al deber de secreto que exige el artículo 10 de la LOPD. Banco Santander SA debe tener en cuenta su obligación de guardar y proteger los datos de sus clientes. El hecho indica que el responsable del fichero incumplió su deber de secreto a través de la acción, omisión o negligencia de algunos de sus empleados. IV El artículo 44.3.
- d)de la LOPD establece que es infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” Los datos personales contenidos en los documentos a los que tuvo acceso la persona denunciante están incorporados a un fichero de clientes de la sociedad imputada. Sobre los cuales la imputada tenía el deber de guardar secreto que exige el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 artículo 10 de la LOPD. V El artículo 45. LOPD, dispone que: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Los hechos declarados probados han sido tipificados como constitutivos de dos infracciones graves, por lo tanto corresponde a cada una de ellas una sanción por un importe comprendido en el tramo del apartado 2 trascrito. VI El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» No se han acreditado circunstancias relacionadas con esta norma que permitan fijar la sanción por la infracción del 4.3 dentro del tramo de las leves. VII El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)C/ Jorge Juan, 6 28001 – Madrid El volumen de negocio o actividad del infractor. www.agpd.es sedeagpd.gob.es 10/12
- e)infracción. Los beneficios obtenidos como consecuencia de la comisión de la
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el apartado trascrito: A. El carácter continuado de la infracción queda fuera de duda, pues los datos personales de la persona destinataria de esos envíos a través de la aplicación Santander Wallet quedan expuestos y accesibles a quien transfiera a ese número de teléfono cualquier importe por tiempo indefinido. B. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es constante e intenso, puesto que es una empresa trasnacional que tiene como actividad la prestación de servicios bancarios y financieros. Esta empresa es líder en el sector en España y tiene importancia a nivel mundial, y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. C. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora. D. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que los empleados no tuvieran intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 El análisis de las circunstancias expuestas en relación al 45.4 de la LOPD permite graduar la sanción para la infracción del 10.1 en el importe mínimo de las graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Banco Santander SA, por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la LOPD, una multa de 40.001 € (cuarenta mil uno euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Banco Santander SA y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es