PS-00415-2016

1/11 Procedimiento PS/00415/2016 RESOLUCIÓN: R/00485/2017 En el procedimiento sancionador PS/00415/2016, instruido por la Agencia Española de Protección de Datos a la entidad Open Bank SA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 19 de octubre de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que: <<< El 16 de octubre de 2013 recibí un SMS a mi móvil proveniente de Open Bank acerca de cambiar una clave de acceso. Traté de entrar en la web con mis datos y me daba error. Es cierto que en el pasado abrí una cuenta, pero a esa fecha ya no era cliente (de lo que me enteré más tarde). El mismo 16 de octubre pregunté si yo era cliente, facilitando mi número de teléfono para que pudieran hacer cuantas comprobaciones fueran necesarias. Todo esto lo comuniqué al email ayuda @ openbank .es desde A.A.A. @ gmail .com. Ese mismo día desde openbank me pidieron por email mi DNI, el cual facilité. La respuesta de openbank fue, también el día 16 de octubre de 2013, la siguiente: """Es posible que alguno de nuestros clientes tenga su móvil erróneo, realizaremos las comprobaciones oportunas. Le agradecemos nos haya comunicado la incidencia y rogamos disculpe por las molestias ocasionadas. Quedamos a su disposición para cualquier otra consulta que desee realizarnos.""" La última comunicación fue una continuación al mensaje anterior, que el mismo día decía: """Le informamos que no nos consta como cliente de Openbank con la información facilitada. Quedamos a su disposición para cualquier otra consulta que desee realizarnos.""" No obstante, tiempo después he recibido varios SMS: 1º el 27 de marzo de 2014 a las 1819 ofreciendo conseguir un iPad por comprar con mi tarjeta 4b; 2º el 15 de abril de 2015 a las 1707, dirigido a B.B.B. (no sé quién es), ofreciéndome descargar la app, para hacer transferencias en euros gratis desde el móvil; 3º hoy, 19 de octubre de 2015, a las 14:35, dirigido también a B.B.B., informándome de la nueva web. >>> Adjunta copia de diferentes correos electrónicos y SMS, intercambiados entre el denunciante y Open Bank. SEGUNDO: Por resolución de 23/12/15 la AEPD acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador. La persona denunciante interpuso recurso de resolución, aportando nuevos indicios probatorios, que fue estimado por resolución de 03/02/16 que ordenaba la realización de investigación y la apertura de expediente de actuaciones previas (E/00371/2016) En fase de actuaciones previas los Servicios de Inspección de esta Agencia se personan en la sede Open Bank y de su investigación levantan la correspondiente acta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 a la que incorporan como anexos las copias de los documentos obtenidos. Documentación que se completa con las aportadas por la entidad bancaria a requerimiento de los Inspectores actuantes. De todo lo actuado la Inspección de Datos emite el siguiente informe: <<< 1. Con fecha 16 de marzo de 2016, se realiza inspección en los locales de la entidad Open Bank SA, poniéndose de manifiesto los siguientes hechos, mediante acceso al sistema informático, fichero “personas” correspondiente a los clientes de la entidad se verifica que: - Se realiza una búsqueda mediante el DNI ***DNI.1, correspondiente a D. A.A.A., comprobándose que no existen datos asociados al mismo. Se realiza una búsqueda mediante Apellidos y Nombre: “A.A.A.”, comprobándose que no existen datos asociados al mismo. Se realiza una búsqueda mediante el número de teléfono ***TEL.1, comprobándose que corresponde a la clienta B.B.B.. Se realiza una consulta a través del código de cliente correspondiente a B.B.B., comprobándose que, entre sus datos, figura como teléfono de contacto el “***TEL.1”, así como que es la única titular de la cuenta. Así mismo, se verifica que el canal de contratación es a través de una “Oficina o Centro Comercial”. - Se accede a través de la Intranet de Open Bank al Gestor Documental de la entidad, donde se encuentran escaneados los contratos, realizando una búsqueda del contrato asociado al número de cliente de B.B.B., comprobando que el número de teléfono de contacto que figura en el contrato es el ***TEL.2, no coincidente con el que aparece en el sistema. Ante las comprobaciones realizadas, la representante de la entidad manifiesta que debió de haber un error al teclear el número de teléfono correspondiente a la cliente B.B.B., al incluir los datos en el sistema. 2. Con relación a las gestiones realizadas por la entidad cuando recibieron los correos electrónicos por parte del denunciante, remitieron un escrito con fecha 29 de marzo de 2016, en el que manifiestan que: - Con fecha 16/10/2013, reciben e-mail del denunciante comprobando que no era cliente y remitiéndole un email comunicándole este hechos. La entidad identifica a al cliente (B.B.B.) y le remite un email comunicándole que hay un error en sus datos pero no obtienen respuesta. No acreditan el envío del email. - Con fecha 15/04/2105 el denunciante llama por teléfono comunicando la recepción de varios SMS. El 16/04/2015, vuelven a remitir correo a la Sra. B.B.B. no recibiendo respuesta. No acreditan el envío del email a la clienta. - Con motivo de la inspección se detectó el error y se procedió a rectificar la información. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Openbank realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos. La entidad después de tener conocimiento de que el teléfono del denunciante está asociado a los datos de otra persona no ha realizado ninguna rectificación y le ha seguido remitiendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 SMS. El contrato con la cliente se realizó a través de un centro comercial y en el contrato estaba bien el número pero al incorporarlo a la base de datos del banco hicieron constar el número de teléfono que coincide con el del denunciante. Se realizó inspección y el error continuaba, a pesar de las reclamaciones del denunciante. CUARTO: Con fecha 21/09/16 la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a Open Bank SA con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 4.3 de la LOPD, tipificadas como graves en el artículo 44.3.

1. c)en la citada ley orgánica. QUINTO: Fue notificado el acuerdo de inicio y Openbank presentó escrito de alegaciones en las que afirma: <<< … se efectúa por la Inspección de la Agencia una inspección en la sede de Open Bank. Durante la misma, se accede al sistema informático, verificando que en el fichero “personas”, que corresponde a los clientes de la entidad, el número de teléfono ***TEL.1 está asociado a la cliente B.B.B. y, consultando a través del código de clientes, que en sus datos figura como teléfono de contacto el referido. Accediendo posteriormente al gestor documental de la entidad, en el que figuran los contratos de los clientes, se comprueba no obstante que en el contrato de la cliente figura un teléfono no coincidente con el que aparece en el sistema, el ***TEL.2. En relación con ello la entidad manifiesta en dicho acto que sin duda ha habido un error al teclear el número de teléfono correspondiente a la dienta para incluir los datos en el sistema. Error por lo demás que es evidente, al bailarse los últimos cuatro números del mismo, consignado como tales ****1, en lugar de ****2, como sería correcto. …, el mismo día en que Openbank identifica al cliente al que corresponde el teléfono que nos indica el interesado, se le dirige un email, cuyo texto adjuntamos, del cual no se obtuvo respuesta: “Estimada Sra. B.B.B., Le informamos de que sus datos están desactualizados o erróneos. Le recomendamos acceder a nuestra web www. openbank .es donde podrá consultar y modificar sus datos con sus claves. Reciba un cordial saludo, Departamento Comercial OPENBANK” De este email no se conserva el original del correo, apareciendo únicamente el mismo transcrito en una nota interna al referirse a las actuaciones realizadas por la entidad en relación con este incidente. El correo mencionado no tuvo contestación. … , a raíz de una nueva comunicación del interesado manifestando haber recibido un nuevo mensaje de mi representada el 15 de abril de 2015, se envía nuevo correo con fecha 16/04/2015 a B.B.B. con el siguiente texto: “Estimada Sra. B.B.B.: Le informamos que nos dirigimos a usted por correo electrónico al no haber sido posible contactar por cualquier otro medio ya que tenemos una incidencia a nombre suyo. Le rogamos se ponga en contacto con nosotros en nuestro servicio de atención al cliente ***TEL.3, donde estaremos encantados de atenderle. Quedamos a su disposición para cualquier otra consulta que desee realizarnos." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 De este correo, del que no se obtuvo respuesta, no se puede obtener pantallazo de la bandeja de salida y su cabecera (según resulta del doc. 1), pero se acompaña como justificación copia de la herramienta de archivo implantada por la entidad en que se reproduce el correo enviado, y en relación con él, el informe de seguimiento de la incidencia (docs. 2 y 3). Finalmente, detectado el origen del error como consecuencia de la inspección se procedió de inmediato a su rectificación (docs. 4 y 5). No obstante lo anterior, a la vista de lo actuado en el expediente hasta ese momento, se estimó en el Acuerdo de inicio que la conducta de mi representada pudiera ser constitutiva de una infracción del principio de calidad del dato recogido en el art. 4 de la LOPD. … , esta parte quiere significar, en primer lugar, que el origen de los hechos deriva de un simple error humano al teclear un teléfono que figuraba en el contrato para incorporarlo a la base de datos, hecho reconocido por esa Agencia en el propio escrito de inicio del expediente sancionador, y por lo tanto se trata de una circunstancia en la que no cabe apreciar intencionalidad alguna. Es cierto que el interesado puso los hechos en conocimiento de mi representada en dos ocasiones. Pero también es verdad que los intentos de contactar con la cliente del banco, realizados a raíz de la comunicación de aquellos hechos con objeto de esclarecer lo que estaba ocurriendo, fueron infructuosos. Ello es así porque los contactos con la cliente del banco se efectuaron por email, ya que no pudieron ser realizados a través del teléfono erróneo. En consecuencia, dichos emails no tuvieron contestación por parte de la clienta a cuyo nombre figuraba el teléfono erróneo y por tanto mi representada se encontró en la imposibilidad de aclarar debidamente los hechos y contrastar que estaba sucediendo con ese número de teléfono. … el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro ordenamiento constitucional. (...). >>> SEXTO: Con fecha 14/10/16 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio presentadas con sus documentos anexos. SÉPTIMO: El 25/01/17 el instructor del procedimiento emite propuesta de resolución sancionadora consistente en Que por la Directora de la Agencia Española de Protección de Datos se acuerde imponer a Open Bank SA, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de la LOPD, una multa 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. Notificada dicha propuesta la denunciada presenta escrito de alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Solicita atenuar el rigor de la sanción que se propone, por entender que existen razones fundadas para moderar el alcance de la responsabilidad en el caso de estas actuaciones. Alega que no se ha considerado atenuante la circunstancia del origen del error, o la de no existencia de perjuicios ocasionados, o por la no existencia de beneficios para la entidad. También debe ser debidamente valorada la circunstancias del origen del error hasta la actuación inspectora en la sede, por la falta de colaboración de la clienta; que el volumen de negocio a valorar es solo el de la entidad no la del grupo al que pertenece; que no se acredita que se hayan incumplido los procedimientos; que el tratamiento frecuente de datos aumenta la probabilidad de cometer el error. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS: 1 --- 06/10/13, fecha de alta en la base de datos de clientes de Open Bank SA de la cuenta ***CCC.1 a nombre de B.B.B., (***DNI.1; (C/...1) – Albacete; ***TEL.2; ......... @ hotmail .
3. es)según contrato suscrito por dicha persona y el apoderado y en gestor del banco. (Folios 40, 44) 2 --- 16/10/13 13:35, la persona denunciante (A.A.A., <.........1 @ gmail .com ) envía a la denunciada (Openbank, ayuda @ openbank .
4. es)el siguiente mensaje: " Buenos días. Mi nombre es A.A.A. y hoy he recibido un SMS desde "openbank", en el que se me indica que se me ha cambiado una clave de acceso, indicándome además la nueva clave, que es la ***CLAVE.1 y que puedo informarme en el 901******. Esto me parece extraño ya que al tratar de entrar en openbank con mi NIF y la clave indicada arriba me ha dado un mensaje de clave revocada o identificador erróneo. No sé por qué me ha llegado el SMS al que me refiero. Les agradecería que me confirmaran mi situación en cuanto a si soy cliente o no de openbank y por qué me ha llegado un mensaje. Un saludo y muchas gracias." Luego por el mismo medio les proporciona su móvil (***TEL.1) y su número de DNI (***DNI.1). Le informan de que no consta como cliente, que es posible que alguno de sus clientes tenga un móvil erróneo y que lo comprobaran. (Folios 3-6, 26-29, 49-50) 3 --- 27/03/14 18:19, el denunciante recibe en su teléfono móvil un mensaje SMS: "Openbank publi: Puedes conseguir un iPad Mini por comprar con tu tarjeta 4b MasterCard. +info en openbank.es o 901*****1. (Folio 7, 30) 4 --- 15/04/15 17:07, el denunciante recibe en su teléfono móvil un mensaje SMS: "Openbank publi: Hola B.B.B., descárgate nuestra app. Tus transferencias en euros gratis desde tu móvil. –entra en http:// i. mdf . ms/ o/609 No+publi 902******". El denunciante por teléfono comunica con Openbank para informarles que en su teléfono ha recibido varios SMS como cliente del banco y no lo es. (Folios 7-8, 30-31, 47) 5 --- 16/04/15, Openbank envía mensaje a su cliente B.B.B. (......... @ hotmail .
5. es)comunicándole que se ponga en contacto para poder solventar una incidencia que tienen a su nombre. No recibieron respuesta –afirman- al igual que ocurrió con un mensaje anterior. (Folios 63-64, 70) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 6 --- 19/10/15 14:35 el denunciante recibe en su teléfono móvil un mensaje SMS: "Openbank Info: B.B.B., en Openbank tenemos nueva web más sencilla y clara. Descúbrela aquí www. openbank .es". (Folios 8, 31) 5 --- 16/03/16, Las Inspectoras de Datos de la AEPD hacen constar en su acta de inspección en el domicilio de la denunciada que habiendo accedido al fichero de clientes "personas" de la base de datos informatica de la compañía e introduciendo para la búsqueda el número de teléfono ***TEL.1 da como resultado que corresponde a B.B.B.. Introduciendo el código cliente de dicha persona da como resultado el dato del mismo teléfono. Al acceder con ese código de cliente al gestor documental de la entidad en el contrato escaneado consta el teléfono ***TEL.2. (Folios 24-25, 32-45) FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II Se considera responsable en el presente procedimiento a Openbank de una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 En este caso, consta acreditado que en los sistemas de información de la entidad Openbank figura registrada el alta de una cuenta corriente, a cuyo titular se le remiten a través del teléfono móvil mensajes SMS objeto de la denuncia que ha dado lugar al procedimiento. El número utilizado por la denunciada coincide con el del denunciante receptor de los citados mensajes, pero es distinto al de la cliente titular de la cuenta bancaria. Sus últimas tres cifras están en orden diferente. El denunciante como receptor de esos mensajes contactó vía e-mail y teléfono por el banco para que solucionaran dicho problema, pero a pesar de los contactos y el tiempo transcurrido la entidad financiera no lo solucionaba y, tras la denuncia a la AEPD, la Inspección de Datos pudo comprobar el dato inexacto en el fichero de clientes, no así en el contrato firmado que dio lugar a la cuenta corriente donde figuraba correctamente. Dicha entidad actuó con total falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, Openbank incumplió el mandato legal de que los datos respondan con exactitud a la situación real de los afectados, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. III La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
7. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
8. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
9. c)de la LOPD por parte de Openbank, que trató datos inexactos de un cliente persona física, plenamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 amparado por el derecho regulado en la normativa expuesta. Esta inexactitud de los datos tratados supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. IV De la sanción: El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Al ser informada la denunciada debió encaminar su actuación a comprobar el dato en su base de datos contrastando con los documentos básicos de la relación contractual del cliente: EL CONTRATO FIRMADO, donde figuraba correctamente. Y no se hizo. Confirmarlo con el titular por ese mismo teléfono o por correo postal, y no se hizo. Se utilizó solo el e-mail dos veces, sin respuesta ni constancia de recepción. Probablemente dicha dirección de correo electrónico no es correcta: los grandes proveedores internacionales proporcionan sus cuentas de e-mail terminando en .com no en .es. Todo ello demuestra una grave falta de diligencia que fundamenta el elemento subjetivo de culpabilidad. Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: --- Es claro el carácter continuo de la infracción desde la emisión de SMS en octubre de 2013 dirigidos a móvil incorrecto, y a pesar de los contactos de información del denunciante con el banco el dato inexacto permanecía cuando fue observado en la base de datos de la compañía por la Inspección de Datos en marzo de 2016. A esta fecha no se ha acreditado de forma fehaciente la corrección del dato inexacto. (45.4.a)) --- La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Openbank es una empresa que tiene como actividad la prestación de servicios de bancarios online del grupo Santander a todo tipo de personas y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. (45.4.c)) --- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Todos los incumplimientos de toda la cadena de ejecución perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.f)) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 --- Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.i)) El balance de todas las circunstancias contemplados por el 45.4 de la LOPD permite fijar la sanción en 50.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Open Bank SA, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
25. c)de la LOPD, una multa 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Open Bank SA, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es