← España

PS-00389-2016

1/11 Procedimiento Nº PS/00389/2016 RESOLUCIÓN: R/02745/2016 En el procedimiento sancionador PS/00389/2016, instruido por la Agencia Española de Protección de Datos a la entidad UNOE BANK, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13/09/2015 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara lo siguiente: Al llamar al teléfono del banco UNOE BANK, S.A. (en lo sucesivo UNOE), con tan solo poner el DNI de cualquier cliente del banco, automáticamente y sin intervención humana por parte del banco, una voz facilita el nombre y apellidos asociados a dicho DNI, sin que opere ningún tipo de control adicional previo tipo usuario y clave, etc. Añade que un principio pensó que al llamar desde su casa la entidad identificaba su número de teléfono existente en la base de datos del banco, pero posteriormente ha podido comprobar que no existe dicho control ya que ha obtenido el mismo resultado realizando la llamada desde teléfonos no asociados a su persona, facilitando el sistema su nombre y apellidos a partir de su DNI. Señala que no le parece normal que la citada entidad bancaria ofrezca sus datos de nombre y apellidos completos o de otros clientes, simplemente con marcar desde cualquier teléfono el DNI de un cliente. Finalmente propone se realice la prueba con su DNI llamando al teléfono ***TEL.1 donde tras responder a la pregunta de "Acceder a la banca telefónica de UNOE" o marcar el número 3 del teclado e introducir su número de DNI se escucha como una voz automatizada responde con su nombre y apellidos, preguntando a continuación "¿en qué podemos ayudarle?. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad UNOE, teniendo conocimiento de que: 1. En fecha de 02/03/2016 se practica diligencia en la que se constata lo siguiente: 1.1. Se realiza una llamada telefónica al número ***TEL.1 1.2. Al descolgar la línea se escucha una alocución que da la bienvenida al servicio de banca telefónica de UNOE, ofreciendo un menú de tres opciones siendo la tercera la relativa a banca a distancia electrónica. 1.3. Se selecciona la opción “3” correspondiente a banca electrónica. 1.4. Se escucha una alocución que invita a introducir el número de DNI. 1.5. Se introduce a través del teclado del teléfono el número de DNI “***DNI.1”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 1.6. Se escucha una voz automatizada dando la bienvenida a “A.A.A.”. 2. En fecha de 03/03/2016 se solicita información a UNOE quien remite escrito de respuesta recibido en fecha de 12/04/2014 del que se desprende lo siguiente: 2.1. La entidad señala que el facilitar los datos de nombre y apellidos al introducir el solicitante el número de DNI se debe a una fórmula de cortesía personalizada. La entidad aporta los esquemas de actuación asociados a los procedimientos de acceso constatándose que efectivamente el procedimiento diseñado (ver página 4 del documento denominado INDRA-DFU-BBVA CONCEPTUALIZACIÓN IDENTIFICACIÓN UNOE-V1.9.VSD) se corresponde a lo constatado en la diligencia practicada en fecha de 02/03/2016. 2.2. En fecha de 26/07/2016 se practica una nueva diligencia constatándose lo siguiente: 2.2.1.Se realiza una llamada telefónica al número ***TEL.1 2.2.2.Al descolgar la línea se escucha una alocución que da la bienvenida al servicio de banca telefónica de UNOE, ofreciendo un menú de tres opciones siendo la tercera la relativa a banca a distancia electrónica. 2.2.3.Se selecciona la opción “3” correspondiente a banca electrónica. 2.2.4.Se escucha una alocución que invita a introducir el número de DNI. 2.2.5.Se introduce a través del teclado del teléfono el número de DNI “***DNI.1”. 2.2.6.Se escucha una voz automatizada que dice “buenas tardes A.A.A.” y ofrece hablar con un gestor. TERCERO: Con fecha 09/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a UNOE, por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio y transcurrido el plazo de alegaciones, la representación de UNOE, en escrito de 14/11/2016, formuló las siguientes alegaciones: que había dado cumplimiento al requerimiento de información de la inspección y ante los hechos puestos de manifiesto procedió a modificar la locución del servicio de banca telefónica omitiendo saludar con el nombre y apellidos; que no ha sido sancionada en ninguna ocasión por los citados hechos; que con carácter subsidiario los apartados
  2. b)y
  3. d)del artículo 45.5 de la LOPD y que no ha existido intencionalidad ni ha ocasionado perjuicio alguno con motivo de los hechos ocurridos. QUINTO: El 18/11/2016 se inició de un periodo de práctica de prueba acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/07748/2015. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por UNOE. SEXTO: En fecha 28/11/2016, fue emitida Propuesta de Resolución en el sentido de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 por la Directora de la Agencia Española de Protección de Datos se sancionara a UNOE por infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  4. h)de dicha norma, con multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de UNOE transcurrido el plazo establecido no había presentado alegación alguna. HECHOS PROBADOS PRIMERO. En fecha 13/09/2015, tiene entrada en esta AEPD escrito del afectado, en el que denuncia que al llamar por teléfono a UNOE con tan solo poner el nº de DNI de cualquier cliente del banco, automáticamente y sin intervención humana por la entidad, una voz indica el nombre y apellidos del titular del documento sin más, sin solicitar ningún tipo de clave, proponiendo se realice una llamada aportando su DNI al teléfono ***TEL.1 (folios 1 y 2). SEGUNDO. Constan dos diligencias del inspector actuante, la primera de 02/03/2016, en la que se constata que al realizar una llamada telefónica al número ***TEL.1 de la entidad bancaria, “al descolgar la línea la línea se escucha una alocución que da la bienvenida al servicio de banca telefónica de UNOE, ofreciendo un menú de tres opciones siendo la tercera la relativa a banca a distancia electrónica. Se selecciona la opción “3” correspondiente a banca electrónica. Se escucha una alocución que invita a introducir el número de DNI. Se introduce a través del teclado del teléfono el número de DNI perteneciente al denunciante. Se escucha una voz automatizada dando la bienvenida al denunciante mediante su nombre y apellidos”. En la segunda, de fecha 26/07/2016, se constata que al realizar una llamada telefónica al mismo número anterior, “al descolgar la línea la línea se escucha una alocución que da la bienvenida al servicio de banca telefónica de UNOE, ofreciendo un menú de tres opciones siendo la tercera la relativa a banca a distancia electrónica. Se selecciona la opción “3” correspondiente a banca electrónica. Se escucha una alocución que invita a introducir el número de DNI. Se introduce a través del teclado del teléfono el número de DNI perteneciente al denunciante”. Se escucha una voz automatizada que da el saludo y ofrece hablar con un gestor (folios 27 y 28). TERCERO. UNOE, en escrito de fecha 12/04/2016, en respuesta al requerimiento de información de 03/03/2016 en el que se le solicitaba información sobre la descripción del procedimiento de acceso a través de la opción nº 3 señalado en el hecho anterior y la justificación por la que se facilita en el citado control más información de la suministrada por el propio usuario en la fase de identificación, ha manifestado que “el motivo por el que se facilita en el control de acceso descrito el nombre y apellidos del titular del DNI previamente facilitado se debe a una fórmula que determina un saludo de cortesía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 personalizado” (folio 7). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad UNOE la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  6. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  7. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  8. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  9. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por UNOE, correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información básica que contiene, tal como se especifica en el artículo 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Por otra parte, el artículo 81.2 del citado Reglamento señala que: “Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de carácter personal: …
  15. d)Aquéllos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestación de servicios financieros”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. También, el artículo 5.2.
  16. b)del Reglamento de desarrollo de la LOPD define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, UNOE estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, como lo recoge las diligencias efectuadas por el inspector actuante llevadas a cabo el 02/03/2016, puesto que la aplicación implantada aportaba más información que la suministrada por el usuario. Por tanto, el mecanismo de acceso contenida en los sistemas de la entidad, no cumplía las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto que identificaba después del saluda con el nombre y apellidos al cliente de la entidad una vez que daba su número de DNI, ofreciendo más información de la suministrada por el usuario en la fase de identificación. En consecuencia, se considera que la entidad UNOE ha incurrido en la infracción grave descrita. Tales hechos han quedado acreditados por la documentación aportada por la entidad en el requerimiento de información solicitado por el inspector actuante y en el que se aportaba la descripción completa del procedimiento de acceso al servicio de banca telefónica y que incluía las copias que contenían la información, así como el mecanismo de identificación y que ha sido reconocido por UNOE. III El artículo 44.3.
  17. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que UNOE ha incurrido en la infracción grave descrita. IV El artículo 45.1, 2, 4 y 5 LOPD, según su redacción aprobada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, aplicable al presente supuesto, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. UNOE ha solicitado el archivo de las actuaciones y subsidiariamente la aplicación del artículo 45.5, apartados
  33. b)y
  34. d)aplicando la escala relativa a las infracciones leves, que preceden inmediatamente en gravedad, graduando la sanción a imponer como consecuencia de la concurrencia de otras circunstancias del artículo 45.4 LOPD (ausencia de intencionalidad, ausencia de daños y perjuicios), con motivo de los hechos ocurridos. El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, ha quedado acreditado que UNOE vulneró el principio de seguridad contenido en el artículo 9.1 de la LOPD, puesto que el mecanismo de acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 a la banca electrónica contenido en los sistemas de la entidad, no cumplía las exigencias establecidas en la LOPD relativas a dichas medidas sobre control de accesos, identificación y autenticación de usuarios, por cuanto que identificaba después del saluda, con el nombre y apellidos, al cliente de la entidad una vez que daba su número de DNI, ofreciendo más información de la suministrada por el usuario en la fase de identificación, por lo que la actuación de UNOE ha de ser objeto de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto contemplado en el artículo 45.5, el
  35. d)“Cuando el infractor haya reconocido espontáneamente su culpabilidad”, ya que la entidad reconoció que “se debe a una fórmula de cortesía personalizada”, aportando los esquemas de actuación asociados a los procedimientos de acceso constatándose que efectivamente el procedimiento diseñado y descrito en la página 4 del documento denominado INDRA-DFU-BBVA CONCEPTUALIZACIÓN IDENTIFICACIÓN UNOE-V1.9.VSD se correspondía a lo constatado en la diligencia practicada por el inspector en fecha de 02/03/2016, por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, hay que señalar otras circunstancias que atenúan aún más la culpabilidad de la entidad denunciada, puesto que UNOE reaccionó con razonable diligencia rectificando tal mecanismo de acceso a raíz del escrito de requerimiento de información del inspector actuante. También ha alegado UNOE la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la graduación de la sanción a imponer. En relación a la circunstancia prevista en el apartado
  36. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec. 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en el apartado
  37. h)del artículo 45.4 tampoco puede aceptarse, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, ha señalado que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Por otra parte, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
  38. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
  39. d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran entidad financiera por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 20.000 €, por vulneración del artículo 9.1 de la LOPD, de la que UNOE debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad UNOE BANK, S.A., por una infracción del artículo 9.1 de la LOPD, en relación con el 93 del RLOPD, tipificada como grave en el artículo 44.3.
  40. h)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a UNOE BANK, S.A., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.