PS-00380-2016

1/12 Procedimiento Nº PS/00380/2016 RESOLUCIÓN: R/00442/2017 En el procedimiento sancionador PS/00380/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., (antes UNOE BANK, S.A.), vista la denuncia presentada por D. K.K.K., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas de 30 de septiembre de 2015 y 8 de enero de 2016 tienen entrada en la Agencia Española de Protección de Datos escritos remitidos por D. K.K.K. con NIF M.M.M. (en adelante el denunciante), en los cuales manifiesta:  Con fecha 15/08/2015 recibió un escrito de la entidad UNOE BANK, S.A. (en adelante UNOE BANK) requiriéndole cierta documentación actualizada sobre los intervinientes de un contrato de cuenta (nº D.D.D.) en el que figuraba como titular junto a su mujer. No tiene constancia ni ha dado su consentimiento para el tratamiento de sus datos en dicha contratación.  En base a lo expuesto, contactó con la entidad el 20/08/2015 y formuló reclamación telefónica (no le indicaron su referencia).  Señala que el único contacto que tuvo con la entidad bancaria data de 2009, en relación con una solicitud de información para el traspaso de una hipoteca de la que nunca obtuvo respuesta. Junto con la denuncia aporta la siguiente documentación: - Copia del escrito de fecha 15/08/2015 remitido por UNOE BANK S.A (Grupo BBVA) al denunciante (dirección: B.B.B.), comunicando el bloqueo parcial de la cuenta indicada con la advertencia de que en el caso de no facilitar la información requerida se le cancelaría la cuenta y las tarjetas asociadas a la misma. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad UNOE BANK, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección E/07705/2015, que se transcribe: “ACTUACIONES REALIZADAS 1) Con fecha 26 de febrero de 2016 se solicita a UNOE BANK S.A información relativa a D. K.K.K. con NIF M.M.M., en relación a la contratación de servicios con dicha entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 De la respuesta recibida en esta Agencia, con fecha 29 de marzo de 2016, se desprende lo siguiente:  Respecto a los DATOS PERSONALES DEL CLIENTE, en los sistemas de la entidad bancaria figuran: o Nombre: K.K.K.. o Documento: M.M.M.. o Domicilio fiscal: A.A.A..  En relación a los PRODUCTOS CONTRATADOS, el denunciante consta como titular de los siguientes servicios: o AH-AHORRO: Cuenta F.F.F. o ST-SERVICIO: Cuenta L.L.L.. o TJ-CONTRATO: Cuenta I.I.I.. o TC-PLÁSTICO: Cuenta C.C.C.. Al respecto, UNOE BANK informa que el cliente no tiene cuentas activas y su dossier figura bloqueado. Se acompaña impresión de pantalla del sistema (documento 1). No se adjunta documentación que acredite la contratación realizada y respalde el tratamiento realizado.” TERCERO: Con fecha 5 de septiembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a UNOE BANK, S.A. (en la actualidad BBVA), por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €., de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, UNOE BANK, S.A. (en la actualidad BBVA) formuló las siguientes alegaciones: 1ª. En fecha 29/04/2009 el denunciante solicitó junto con Dña. E.E.E. a través de la web de UNOE una subrogación de un préstamo hipotecario. Aporta impresión de pantalla de sus sistemas. Para tramitar dicha solicitud el denunciante autorizó la apertura del número de cuenta J.J.J. que llevaba asociadas las tarjetas números G.G.G. a nombre de la Sra. E.E.E. y G.G.G.8 a nombre del denunciante que quedaron bloqueadas hasta la activación por el cliente, hecho que no se produjo, pero ambos productos quedaron en vigor a pesar de estar bloqueados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 2º. En cumplimiento del artículo 3 de la Ley 10/2010, de 28 de abril, de prevención de blanqueo de capitales y de financiación del terrorismo a las entidades de crédito, UNOE remitió una notificación al denunciante y a la Sra. E.E.E., advirtiendo de la posibilidad de cancelar dicho contrato si no disponían de la información requerida por el artículo 5 de la referida ley. 3ª. En fecha 21/08/2015 el denunciante se puso en contacto con UNOE a través del servicio de banca telefónica solicitando la cancelación de la cuenta. 4ª. Subsidiariamente aplicación del artículo 45.5 de la LOPD habida cuenta de que se procedió a cancelar la cuenta junto con las tarjetas asociadas a la misma tras la llamada efectuada por el denunciante y con anterioridad a la denuncia efectuada ante la AEPD. QUINTO: En fecha 20/01/2017 se formuló propuesta de resolución en el sentido de imponer a BBVA una multa de 20.000 € por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma. Dicha propuesta le fue notificada en fecha 25/01/2017 sin que se tenga constancia de la formulación de alegaciones a la misma. HECHOS PROBADOS PRIMERO: Con fechas de 30 de septiembre de 2015 y 8 de enero de 2016 tienen entrada en la Agencia Española de Protección de Datos escritos remitidos por el denunciante, en los cuales manifiesta:  Con fecha 15/08/2015 recibió un escrito de la entidad UNOE requiriéndole cierta documentación actualizada sobre los intervinientes de un contrato de cuenta (nº D.D.D.) en el que figuraba como titular junto a su mujer. No tiene constancia ni ha dado su consentimiento para el tratamiento de sus datos en dicha contratación.  En base a lo expuesto, contactó con la entidad el 20/08/2015 y formuló reclamación telefónica (no le indicaron su referencia).  Señala que el único contacto que tuvo con la entidad bancaria data de 2009, en relación con una solicitud de información para el traspaso de una hipoteca de la que nunca obtuvo respuesta. SEGUNDO: Consta en el expediente copia del escrito de fecha 15/08/2015 remitido por UNOE al denunciante (dirección: B.B.B.), comunicando el bloqueo parcial de la cuenta J.J.J., con la advertencia de que en el caso de no facilitar la información requerida se le cancelaría la cuenta y las tarjetas asociadas a la misma ( G.G.G.8 y G.G.G.). TERCERO: En fecha 21/08/2015 el denunciante contacto con UNOE a través del servicio de banca telefónica reclamando no ser titular de los citados productos y solicitando la cancelación de los mismos. CUARTO: En los sistemas de UNOE (ahora BBVA) figuran los siguientes datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 o Nombre: K.K.K.. o Documento: M.M.M.. o Domicilio fiscal: A.A.A..  En relación a los PRODUCTOS CONTRATADOS, el denunciante consta como titular de los siguientes servicios desde fecha 29/04/2009, que se encuentran cancelados desde fecha 26/08/2015: o AH-AHORRO: Cuenta F.F.F. o ST-SERVICIO: Cuenta L.L.L.. o TJ-CONTRATO: Cuenta I.I.I.. o TC-PLÁSTICO: Cuenta C.C.C.. QUINTO: UNOE manifestó que en fecha 29/04/2009 el denunciante solicitó junto con Dña. E.E.E. a través de la web de UNOE una subrogación de un préstamo hipotecario. Para tramitar dicha solicitud el denunciante autorizó la apertura del número de cuenta J.J.J. que llevaba asociadas las tarjetas números G.G.G. a nombre de la Sra. E.E.E. y G.G.G.8 a nombre del denunciante que quedaron bloqueadas hasta la activación por el cliente, hecho que no se produjo, pero ambos productos quedaron en vigor a pesar de estar bloqueados. UNOE no acredita de modo fehaciente la contratación de la referida cuenta y tarjetas asociadas. SEXTO: UNOE ha sido absorbida por BBVA según escritura de fusión por absorción otorgada por ambas entidades ante notario el día 22 de noviembre de 2016. Se aporta testimonio notarial de dicha escritura de fusión por absorción que determina que BBVA sucede al banco disuelto (UNOE) en todas las relaciones jurídicas y de hecho del mismo, en igual posición jurídica, las cuales serán continuadas por BBVA, incluso en cuanto a cualesquiera procedimientos o reclamaciones y recursos judiciales, administrativos, contencioso administrativos o de cualquier otra índole que se hallen en curso. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La LOPD define en su artículo 3: Tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”, y Responsable del fichero o tratamiento: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. El art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
4. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28/02/2007 -recurso nº.236/2005-, “el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. “ En este punto cabe señalar que ha resultado probado en el procedimiento que los datos personales del denunciante fueron incorporados a los sistemas de información de JAZZTEL asociados a la titularidad de la cuenta J.J.J., y tarjeta G.G.G.8 asociada a la misma, con fecha de alta 29/04/2009 y que fueron dados de baja el 26/08/2015 tras su reclamación efectuada el 21/08/20105, por tanto los datos del denunciante fueron objeto de tratamiento del cual es responsable JAZZTEL (actualmente ORANGE). III El núcleo de la controversia consiste en determinar si UNOE (actualmente BBVA), para el tratamiento efectuado, con el consentimiento inequívoco del titular de los datos, o si, al menos, había adoptado con ocasión de la contratación de las servicios objeto de denuncia las medidas que exige la diligencia que está obligada a observar en el desarrollo de su actividad con el fin de acreditar que la persona de quien recabó y obtuvo el consentimiento para el tratamiento de los datos personales era su titular. Única hipótesis en la que el tratamiento de datos de la afectada que UNOE (actualmente BBVA) efectuó tendría amparo legal. Con este propósito se solicitó a UNOE durante las actuaciones previas de inspección que remitiera a la Agencia “copia de los contratos suscritos por el afectado, incluyendo condiciones generales y particulares aplicables, así como la copia del DNI, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 pasaporte o cualquier otro documento recabado que acredite la identidad del contratante”, así como que, en el caso que la contratación no se hubiera realizado por internet, se remitiera “información del procedimiento implantado en la empresa para validar la identidad del contratante, documentación que permitiera acreditar el consentimiento prestado en la contratación y documentación que acredite la validación realizada sobre la identidad del contratante”. UNOE (actualmente BBVA) no facilitó información alguna sobre el modo de contratación de los referidos productos, para en el escrito de alegaciones al acuerdo de inicio del procedimiento sancionador afirmar que la contratación se llevó a cabo a través de la web de la entidad, pero sin aportar ninguna de la información requerida sobre medidas para acreditar la identidad del contratante, así como el consentimiento válidamente prestado, resultando que la única prueba de la contratación efectuada es la existencia de los datos personales del denunciante en sus sistemas de cuyo origen la entidad no ha podido dar una prueba fehaciente de su obtención y del consentimiento del denunciante para su tratamiento. Llegados a este punto debemos subrayar una vez más que es a UNOE (actualmente BBVA) a quien incumbe la carga de probar que recabó y obtuvo el consentimiento del denunciante para el tratamiento de sus datos y que la LOPD exige que sea el titular de los datos quien preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
5. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. La doctrina emanada de la Audiencia Nacional en relación a la carga de la prueba ha seguido de modo constante la misma dirección. Ya en su Sentencia de 21 de diciembre de 2001 el Tribunal expuso que “ ….. de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D….(nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir, ……debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Cabe citar la STAN de 31 de mayo de 2006, Recurso 539/2004 que indica en su Fundamento de Derecho Cuarto: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Más recientemente la STAN de 27 de enero de 2011, (Rec 349/2009), ratifica el criterio precedente y en su Fundamento de Derecho Tercero expone: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 de la prueba”. (El subrayado es de la AEPD). En definitiva los documentos aportados por UNOE (actualmente BBVA) a fin de acreditar que recabó y obtuvo del denunciante el consentimiento para el tratamiento de sus datos se reducen a un pantallazo de sus sistemas donde constan los datos personales del denunciante y los productos de los que es titular , pero que en modo alguno pueden resultar prueba fehaciente de que éste prestara su consentimiento para el tratamiento de sus datos personales para efectuar la contratación de la cuenta y tarjeta asociada a la misma cuya titularidad la entidad le atribuyó durante un periodo de más de 6 años. El examen de los mencionados documentos no permite concluir que tal consentimiento hubiera existido ni que la entidad tuviera adoptadas las medidas que la diligencia que le es exigible aconseja a fin de salvaguardar el derecho fundamental a la protección de los datos de carácter personal. Para calibrar si la conducta de la denunciada se ajustó, en relación con el sector en el que opera, al deber de diligencia que la actividad que desarrolla le exige, debemos examinar las disposiciones del R.D. 1906/1999. Norma que regula la contratación telefónica o electrónica (como es el presente caso) con condiciones generales en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma” (el subrayado es de la AEPD). El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable. Parar ello, en los casos de contratación electrónica, deberá utilizarse un firma electrónica avanzada que atribuya a los datos consignados en forma electrónica el mismo valor jurídico que la firma manuscrita, conforme al Real Decreto-Ley 14/1999, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 17 de septiembre, sobre firma electrónica. En estos casos, al documento electrónico se acompañará una consignación de fecha y hora de remisión y recepción en su caso”. (El subrayado es de la AEPD). En atención a lo expuesto en los párrafos precedentes, tomando en consideración que ni UNOE (ni la entidad absorbente BBVA) han presentado ninguna prueba de que el denunciante hubiera consentido la contratación de los servicios objeto de denuncia, lo que le dispensaría por imperativo del artículo 6.2 de la LOPD de la obligación de acreditar el consentimiento al tratamiento; ni ha aportado tampoco prueba alguna que demuestre haber articulado los mecanismos encaminados a dejar constancia de la identidad de la persona que presta el consentimiento a la contratación a través de su web medidas que son exigibles tanto al amparo del R.D. 1906/1999 como a tenor de las obligaciones impuestas por la LOPD a fin de salvaguardar el derecho fundamental a la protección de los datos de carácter personal- , se concluye que la conducta de UNOE (ahora BBVA) anteriormente descrita vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD, infracción tipificada en el artículo 44.3.
6. b)de la citada Ley Orgánica que dispone: “Son infracciones graves, (..):
7. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Respecto a que el tratamiento se efectuó conforme a la existencia de una relación contractual que se estimaba válida debe destacarse que el artículo 6.2 de la Ley Orgánica 15/1999 recoge un catálogo cerrado de excepciones al principio del consentimiento. Ninguna de ellas se corresponde con la invocada “confianza en la legitimidad de los datos personales aportados”. La circunstancia consistente en la existencia una relación negocial, siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, tiene su razón de ser, precisamente, en la existencia de un consentimiento previo que se otorgó en el momento de la formalización del contrato, por lo que resulta lógico no exigirlo de nuevo si el tratamiento se justifica en el mantenimiento o cumplimiento de las prestaciones derivadas del mismo. Pues bien, es precisamente este extremo, el consentimiento del denunciante, lo que UNOE (ahora BBVA) no ha podido acreditar en el curso del expediente, por lo que en ningún caso podría ampararse la legitimidad de su conducta en la excepción del artículo 6.2 de la LOPD. Por la misma razón, el encontrarse en disposición de los datos personales de la afectada no constituye per se prueba alguna de que aquélla hubiera otorgado su consentimiento a la contratación. Respecto a la ausencia de contrato impreso, nos remitimos una vez más al R.D. 1906/1999. Sin entrar en la cuestión de Derecho Civil relativa al principio del consentimiento que inspira la contratación en nuestro ordenamiento jurídico privado, -que es ajena a las competencias de este organismo-, la Agencia, en el ejercicio de las funciones que tiene encomendadas viene obligada a comprobar que el tratamiento de los datos realizado por la operadora contaba con el consentimiento de su titular o, al menos, que la entidad adoptó con ese propósito las medidas que las circunstancias del caso aconsejan a fin de acreditar que la persona que presta el consentimiento es en realidad el titular de los datos tratados. Como ya ha quedado expuesto, el R.D. 1906/1999 para el caso de la contratación telemática, además de atribuir la carga de la prueba de la contratación al predisponente, advierte que en esos casos (de contratación electrónica), “deberá utilizarse un firma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 electrónica avanzada” y que se acompañará al documento electrónico “una consignación de fecha y hora de remisión y recepción en su caso”. Respecto a la acreditación de la identidad del contratante Audiencia Nacional en la sentencia de 8/06/2006 (Rec. 244/04) señala que “si bien ni la normativa civil o mercantil, ni la específica aplicable a los consumidores y usuarios, establece que sea condición necesaria la solicitud de una copia del DNI o pasaporte a todos aquellos consumidores o usuarios que quieran contratar un determinado servicio con un empresario o profesional, ello no puede interpretarse, en el sentido de que le excuse de exigir medidas de prevención. Por tanto, decíamos en dicha sentencia "no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la entidad demandante "Se trata en definitiva de que "se verifique la identidad del solicitante de los servicios mediante la exigencia de fotocopia del documento que acredite dicha identidad, a fin de contratar y facilitar el servicio a la persona que efectivamente lo reclama". A la misma conclusión se llega en la sentencia de la Audiencia Nacional de 17/12/2010, recurso 573/2009, en un supuesto similar al aquí analizado, cuyo fundamento de derecho SEXTO indica (el subrayado es de la Agencia) : “Es cierto que las dos líneas contratadas lo fueron a través de Teabla que, conforme al contrato obrante a los folios 135 y siguientes del expediente administrativo, debe fiscalizar la veracidad o no de la documentación aportada, y para ello en el citado contrato se establece que, para la formalización de los contratos de abono al servicio, el distribuidor obtendrá del cliente la documentación que se indica, entre otra, fotocopia del documento nacional de identidad, o del pasaporte, tarjeta de residencia y número personal de identificación de extranjeros etcétera. Para la gestión del contrato el distribuidor deberá enviar a Telefónica Móviles los contratos de abono al servicio debidamente formalizados y acompañados, entre otros, de los documentos que hemos descrito (documento nacional de identidad o pasaporte). Sin embargo, la recurrente dio por buena una contratación en la que no consta evidencia alguna de que la persona que figura como contratante haya prestado el consentimiento pues no consta que sean comprobase el DNI ni se hiciese con una fotocopia del mismo y, en consecuencia, no remitió fotocopia del DNI a Telefónica Móviles, como se exigía en el contrato de distribución, pese a lo cual la recurrente incorporó a sus ficheros los datos de la denunciante. En definitiva, conforme a lo señalado anteriormente UNOE (ahora BBVA) no ha acreditado contar con el consentimiento inequívoco del denunciante para el tratamiento de sus datos personales, conducta tipificada como infracción grave en el artículo 44.3.
8. b)de la LOPD. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 cualificada”) y concretos. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 202 y 13 de abril y 18 de mayo de 2005). Respecto a la falta de intencionalidad, a la antijuridicidad no obsta la falta de intención de infringir las normas jurídicas- Sentencia del Tribunal Supremo de 4/06/1999-, “y ya hemos razonado que en contra de lo que se dice en el recurso si existe lesión de un derecho protegido por la Ley”. Respecto a la aplicación del artículo 45.5 de la LOPD se debe reseñar que la infracción del artículo 6.1 de la LOPD concretada en el tratamiento sin consentimiento de los datos del denunciante fue cometida por UNOE, entidad que ha sido absorbida por BBVA según escritura de fusión por absorción otorgada por ambas entidades ante notario el día 22 de noviembre de 2016, que determina que BBVA sucede a UNOE en todas las relaciones jurídicas y de hecho del mismo, en igual posición jurídica, las cuales serán continuadas por BBVA, incluso en cuanto a cualesquiera procedimientos o reclamaciones y recursos judiciales, administrativos, contencioso administrativos o de cualquier otra índole que se hallen en curso. Este hecho determina la existencia del supuesto de hecho reflejado en el artículo 45.5.
24. e)y por tanto permite la aplicación de lo establecido en el artículo 45.5 en cuanto a la aplicación de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en este caso, tratándose de una infracción grave, se aplicará la escala prevista por el artículo 45.1 para las infracciones leves. En cuanto a la aplicación del artículo 45.4 de la LOPD en atención a la graduación de la sanción debe considerarse por una lado el carácter continuado de la infracción (Art. 45.4.
25. a)por cuanto el tiramiento sin consentimiento de los datos del denunciante se efectuó por UNOE desde fecha 29/04/2009 hasta 26/08/2015, y por otro la regularización diligente de la situación irregular por cuanto, recibida reclamación del denunciante en fecha 21/08/2015, UNOE canceló su cuenta y tarjeta asociada en el plazo de 5 días, el 26/08/2015, motivos por los cuales procede imponer a BBVA (antes UNOE) una multa de 20.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
26. b)de la LOPD, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., y a D. K.K.K.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es