PS-00477-2016

1/12 Procedimiento Nº PS/00477/2016 RESOLUCIÓN: R/00774/2017 En el procedimiento sancionador PS/00477/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, S.A., vista la denuncia presentada por D. B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: D. B.B.B. (en lo sucesivo el denunciante) manifestó a esta Agencia Española de Protección de Datos, por escrito presentado en fecha 10 de noviembre de 2015, que BANCO SANTANDER, S.A. (en lo sucesivo indistintamente la entidad denunciada) le había remitido publicidad después de haberse opuesto a ello. Para acreditar estos hechos, adjunto a la denuncia aportaba la documentación que se analiza con más detalle a continuación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevó a cabo la investigación más abajo detallada. De esta manera, en el informe de actuaciones de investigación E/00033/2016 se detalla lo siguiente: 1. <<El denunciante aporta copia de un escrito entregado en una sucursal de OPEN BANK SA el 20 de marzo de 2015 en el que manifiesta que tras haber dejado de ser cliente de la entidad no desea continuar recibiendo cartas comerciales ni de ningún otro tipo de la entidad. La solicitud fue contestada mediante escrito de BANCO SANTANDER SA fechado el 27 de marzo de 2015 en el que se informaba de que se habían dado las instrucciones oportunas a la unidad interna correspondiente. 2. El denunciante aporta copia de una carta fechada el 2 de octubre de 2015 en la que se le identifica como cliente de “Santander Private Banking”, se le informa de la finalización del plan “Queremos ser tu banco” y de algunas de las condiciones de que disfruta como cliente de la entidad. El escrito incluye también un párrafo en el que se le presenta un nuevo producto, la “Cuenta 1|2|3” y se le indica que podrá obtener más información poniéndose en contacto con su banquero privado. 3. Solicitada información a BANCO SANTANDER SA sobre los hechos denunciados, la entidad remite dos escritos en los que manifiesta que: 3.1. El denunciante consta en el fichero de clientes de la entidad vinculado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 52 contratos distintos. La entidad aporta impresiones de pantalla de los sistemas de información en los que se muestra la lista de contratos con sus descripciones y fechas de alta y baja. En el listado aportado, algunos de los contratos tienen como fecha de baja la fecha “31/12/9999”, fecha que podría indicar que no han sido dados de baja pero la entidad no ha aportado información al respecto. Constan dos contratos con fecha de baja posterior al 2 octubre de 2015, uno de “cartera de inversiones” con fecha de baja 13 de enero de 2016 y otro descrito como “Fondos de terceros”, con fecha de baja de 14 de enero de 2016. 3.2. En el fichero de reclamaciones de la entidad constan la reclamación y la resolución citadas en el punto 1. 3.3. Se remitió al denunciante la comunicación descrita en el punto 2 para “informarle sobre la finalización del plan “Queremos ser tu banco”, por lo tanto no tenía ninguna finalidad publicitaria, que es a lo que se acogió cuando solicitó su derecho de oposición”. 3.4. No les consta que el denunciante haya ejercido su derecho de cancelación sobre sus datos personales. Requerida a la entidad para que aporte documentación acreditativa de la condición de cliente a 2 de octubre de 2015 cuando éste afirma el 20 de marzo de 2015 haber dejado de ser cliente, la entidad aporta únicamente 4 solicitudes de traspaso de entrada entre fondos de inversión fechados los días 1 y 7 de abril y 24 y 27 de junio, pero del año 2014>>. TERCERO: En fecha 28 de octubre de 2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO SANTANDER, S.A. por la posible infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), en relación con el 30.4 de la misma norma; infracción tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. CUARTO: En fecha 21 de noviembre de 2016, y previa envío de copia del expediente en fecha 8 de noviembre de 2016, tuvo entrada en esta Agencia un escrito de la representación de BANCO SANTANDER, S.A. en el que se realizaban alegaciones al Acuerdo de inicio más arriba citado, manifestando que procedía el archivo del expediente por no resultar suficientemente acreditada la existencia de indicios de comisión de una infracción, dado que sí existían relaciones comerciales con el denunciante, como el “contrato de apertura de cuenta de fondos nº A.A.A., de fecha 20 de enero de 2014”, siendo este un contrato abierto a cualquier operación que se realizase a su amparo (aportó copia). QUINTO: En fecha 24 de noviembre de 2016 se inició un período de práctica de pruebas por un plazo de treinta días, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), notificándose a las partes interesadas, practicándose las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección E/00033/2016, consistente en el escrito de denuncia e informes de BANCO SANTANDER, S.A. y de la Inspección de Datos de esta Agencia de fecha 9 de agosto de 2016; así como las alegaciones de BANCO SANTANDER, S.A. de fecha 18 de noviembre de 2016 al Acuerdo de inicio citado más arriba. Todo ello con su correspondiente documentación adjunta. SEXTO: Con fecha 4 de enero de 2017, y transcurrido el periodo de práctica de pruebas citado en el punto anterior, se inició el trámite de audiencia, de acuerdo con el artículo 82 de la Ley LPACAC, poniéndose de manifiesto el expediente al presunto responsable, y se le concedió un plazo de quince días hábiles para formular alegaciones y aportar cuantos documentos estimase de interés. Asimismo, se le notificó la relación de documentos obrantes en el procedimiento a fin de que pudiera obtener las copias de los que estimase convenientes, previa cita, como se detalla también en el anexo a la presente propuesta de resolución. SÉPTIMO: D. B.B.B. manifestó a esta Agencia Española de Protección de Datos, por escritos presentados en fechas 19 de enero de 2017 (el último presentado) y, previamente, 7 y 8 de noviembre y 5 de diciembre de 2016, este último escrito como queja, que quería conocer el estado de tramitación de su denuncia, pues la única comunicación recibida por la Agencia era la fechada en 7 de enero de 2016, como acuse de recibo de la denuncia que presentó en fecha 10 de noviembre de 2015, como ya se ha indicado en el punto primero de esta propuesta. OCTAVO: Con fecha 3 de febrero de 2017 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a BANCO SANTANDER, S.A. con multa de 20.000 € (veinte mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.4 de la misma norma y en relación también con el artículo 48 del RLOPD; infracción tipificada como grave en el artículo 44.3.
2. b)de dicha norma y de conformidad con lo establecido en el artículo 45 de esa misma Ley Orgánica. En su virtud se le notificó a los interesados cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. NOVENO: Dicha propuesta de resolución fue en efecto notificada BANCO SANTANDER, S.A. en fecha 7 de febrero de 2017, concediéndose el citado plazo para formular alegaciones, las cuales fueron presentadas en fecha 20 de febrero de 2017. Se reiteraban los argumentos ya expuestos en anteriores alegaciones. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 PRIMERO: Que D. B.B.B. manifestó a esta Agencia Española de Protección de Datos, en fecha 10 de noviembre de 2015, que BANCO SANTANDER, S.A. le había remitido publicidad después de haberse opuesto a ello (folio 1). SEGUNDO: Que el denunciante entregó en una sucursal de OPEN BANK, S.A. un escrito, dirigido al Departamento de Atención al Cliente de BANCO SANTANDER con fecha 20 de marzo de 2015, en el que manifestó que, tras haber dejado de ser cliente de la entidad, no deseaba continuar recibiendo de esa entidad “carta comercial” alguna, “ni de ningún otro tipo”; escrito que tiene un sello de entrada “Madrid-100 OPEN BANK, S.A. 0073” con dicha fecha de 20 de marzo de 2015 (folio 2). TERCERO: Que OPEN BANK, S.A. le remitió a Atención al Cliente de BANCO SANTANDER, S.A. la carta de reclamación del denunciante detallada en el punto 2º anterior en fecha 26 de marzo de 2015 (folios 15 y 16). CUARTO: Que el denunciante recibió un escrito de BANCO SANTANDER, S.A., fechado el 27 de marzo de 2015, de la Directora del Servicio de Reclamaciones y Atención al Cliente, con ref. 15/*****, en el que se le daba respuesta a esa solicitud, informándole que “hemos pasado las instrucciones oportunas a la Unidad correspondiente, habiendo quedado anotada su petición en nuestros registros, con el fin de que sus datos sean utilizados de conformidad con la normativa vigente” (folio 3). QUINTO: Que el denunciante recibió una carta con sus datos personales, fechada el 2 de octubre de 2015, en la que se le identificaba como cliente de “Santander Private Banking” y se le informaba de la finalización del plan “Queremos ser tu banco” en fecha 5 de diciembre, plan que dejaba de “tener validez”, así como de algunas de las condiciones de que disfrutaba como cliente de la entidad (folio 4). SEXTO: Que el escrito detallado en el punto 4º anterior incluía también un párrafo en el que se le presentaba un producto, la “nueva Cuenta 1|2|3”, y se le indicaba que podría obtener más información poniéndose en contacto con su banquero privado (folio 4). SÉPTIMO Que BANCO SANTANDER, S.A. manifestó a esta Agencia en fase de investigación previa que el denunciante constaba en el fichero de clientes de la entidad vinculado a 52 contratos distintos, aportando un listado en los que los contratos tenían como fecha de baja la fecha “31/12/9999”, fecha que podría indicar que no habían sido dados de baja, sin facilitar más información al respecto, registrándose dos contratos con fecha de baja posterior al 2 octubre de 2015, uno de “cartera de inversiones” con fecha de baja 13 de enero de 2016 y otro descrito como “Fondos de terceros”, con fecha de baja de 14 de enero de 2016 (folios 7 a 14); aportando solicitudes a nombre del denunciante, firmadas, de traspasos de entrada entre fondos de inversión de fechas 1 de abril y 24 de junio de 2014 (folios 22 a 33) y una orden de reembolso de fondo de inversión de fecha 27 de junio de 2014 (folios 34 a 37 . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 OCTAVO: Que BANCO SANTANDER, S.A. no ha aportado documentación que acredite que dispusiese del consentimiento de D. B.B.B. para el tratamiento de sus datos personales que se ha descrito en el punto 6º anterior. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Por otra parte, el artículo 6 del Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
5. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma en vigor y aplicable a partir del 25 de mayo de 2018. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Llegados a este punto, se hace necesario centrar el análisis en la finalidad publicitaria habida por parte de BANCO SANTANDER, S.A., de este modo, el artículo 30.4 de la LOPD establece que: “Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por otra parte, el artículo 46.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), “Tratamiento de datos en campañas publicitarias”, establece lo siguiente: “Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre”. En este caso concreto, en el que se ha producido un tratamiento publicitario de los datos de carácter personal del denunciante, el artículo 15 del RLOPD, “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma”, establece que: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento“. A este respecto, hay que considerar igualmente lo establecido en los artículos 45.1.b), en lo que respecta a los tratamientos para actividades de publicidad y prospección comercial, a saber: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 siguientes casos:
6. b)Hayan sido facilitados por los propios interesados y obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad,” Y finalmente, el 48 del RLOPD, “Ficheros de exclusión del envío de comunicaciones comerciales”, que dice que: “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad”. Y en el presente caso concreto, hay que recordar por otro lado que el tratamiento de datos venía habilitado en principio por el ya citado artículo 6.2 de la LOPD. En este sentido, D. B.B.B. manifestó a esta Agencia, en fecha 10 de noviembre de 2015, que BANCO SANTANDER, S.A. le había remitido publicidad después de haberse opuesto a ello (folio 1). Como consta acreditado en el expediente, el denunciante entregó en una sucursal de OPEN BANK, S.A. un escrito, dirigido al Departamento de Atención al Cliente de BANCO SANTANDER con fecha 20 de marzo de 2015, en el que manifestó que, tras haber dejado de ser cliente de la entidad, no deseaba continuar recibiendo de esa entidad “carta comercial” alguna, “ni de ningún otro tipo”; escrito que tiene un sello de entrada “Madrid-100 OPEN BANK, S.A. 0073” con dicha fecha de 20 de marzo de 2015 (folio 2). Por su parte, OPEN BANK, S.A. le remitió a Atención al Cliente de BANCO SANTANDER, S.A. esta carta de reclamación en fecha 26 de marzo de 2015 (folios 15 y 16). Por tal motivo, el denunciante recibió un escrito de BANCO SANTANDER, S.A., fechado el 27 de marzo de 2015, de la Directora del Servicio de Reclamaciones y Atención al Cliente, con ref. 15/*****, en el que se le daba respuesta a esa solicitud, informándole que “hemos pasado las instrucciones oportunas a la Unidad correspondiente, habiendo quedado anotada su petición en nuestros registros, con el fin de que sus datos sean utilizados de conformidad con la normativa vigente” (folio 3). Pese a ello, el denunciante recibió una carta con sus datos personales, fechada el 2 de octubre de 2015, en la que se le identificaba como cliente de “Santander Private Banking” y se le informaba de la finalización del plan “Queremos ser tu banco” en fecha 5 de diciembre, que dejaba de “tener validez”, así como de algunas de las condiciones de que disfrutaba como cliente de la entidad (folio 4). En este escrito se incluía también un párrafo con contenido publicitario, en el que se le presentaba un producto, la “nueva Cuenta 1|2|3”, y se le indicaba que podría obtener más información poniéndose en contacto con su banquero privado (folio 4). Por su parte, BANCO SANTANDER, S.A. no ha aportado documentación que acredite que dispusiese del consentimiento de D. B.B.B. para el tratamiento de sus datos personales que se ha descrito en el párrafo anterior. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD, en relación con el artículo 30.4 de la misma norma y en relación también C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 con el artículo 48 del RLOPD, por parte de BANCO SANTANDER, S.A. y que es responsable de dicha infracción al artículo citado. III El artículo 44.3.
7. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Este tratamiento se ha producido, por tanto y como ya se ha indicado, sin que la citada entidad financiera contase con el consentimiento inequívoco del denunciante para utilizar sus datos con fines publicitarios, con conocimiento de la entidad inculpada de que no deseaba recibir publicidad de la misma, y, consecuentemente, BANCO SANTANDER, S.A. no podía utilizar el nombre, apellidos y domicilio del afectado con tratamientos asociados a esa finalidad. A pesar de la recepción por BANCO SANTANDER, S.A. de dicha solicitud en la fecha indicada, no consta actuación alguna por parte de dicha sociedad tendente a evitar que no se volvieran a tratar los datos del denunciante con fines de publicidad, más allá de lo expuesto en el ya citado escrito de la Directora del Servicio de Reclamaciones y Atención al Cliente, anotando su petición en los registros oportunos, “con el fin de que sus datos sean utilizados de conformidad con la normativa vigente” (folio 3). No hay que olvidar que como responsable del fichero en el que figuraban los datos del denunciante como cliente, como consta acreditado en el expediente (folios 22 a 37, 51 y 52), y como responsable del tratamiento publicitario objeto de imputación, debió articular los medios necesarios para excluir, de forma efectiva, el uso de los datos personales del denunciante a efectos publicitarios en sus sistemas. En relación al que el envío en cuestión con la introducción de información comercial de manera accesoria, debe indicarse que utilizar un medio inicialmente destinado a dar información contractual para introducir información publicitaria no es una circunstancia accesoria, marginal o accidental, habida cuenta que la impresión mecánica en el papel que contiene los datos identificativos del denunciante necesarios para que la carta llegue a su destino con publicidad de un determinado producto comercializado por la entidad remitente constituye un tratamiento publicitario de los datos de carácter personal del denunciante realizado en paralelo al tratamiento contractual, aunque independiente y ajeno al mismo. Es decir, la entidad denunciada vino a utilizar como medio de promoción la carta en la que procedía a informar de cuestiones referentes a la relación contractual, extinguida para el denunciante. De ese modo, de la lectura del párrafo en cuestión, se evidencia que tiene como finalidad publicitar una nueva cuenta corriente comercializada por la entidad inculpada, en concreto “la nueva Cuenta 1/2/3” (folio 4). En sentencia de fecha 30 de mayo de 2014 la Audiencia Nacional, en relación con el tratamiento de los datos del denunciante efectuado con posterioridad a la revocación del consentimiento para el tratamiento con fines comerciales, en un asunto similar de suministro energético, viene a decir que: “Pues bien, parece claro que si el denunciante ejerció su derecho de oposición ante la entidad recurrente para que sus datos no fueran tratados - por lo que aquí nos interesa - con fines comerciales, solicitud que la recurrente se comprometió a atender, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 debió adoptar las medidas necesarias para garantizar que sus datos no van a ser tratados con fines comerciales. A tal fin dispone el artículo 48 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos (RLOPD) que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo, y adoptar las medidas necesarias que eviten el envío de publicidad”. Por tanto, no puede aceptarse lo alegado por la actora respecto a que no podía guardar información de los clientes transmitidos, pues el citado precepto la habilitaba para conservar los mínimos datos imprescindibles al objeto de evitar el envío de publicidad o, lo que es igual, el tratamiento de sus datos con fines comerciales. En casos como el presente, no puede aceptarse la habilitación del citado RD 1432/2002 como anulación de la revocación y oposición ejercida por el denunciante pues, como razona la AEPD, ello supondría vaciar de contenido el principio del consentimiento para el tratamiento de datos personales y relegar a mero formalismo el ejercicio del derecho de oposición, perdiendo así la sustantividad que el legislador les otorgó en la LOPD. Por tanto, la entidad recurrente al objeto de atender el derecho de oposición del denunciante, debió haber cruzado la base de datos del punto de suministro con la propia de la entidad referida a aquellas personas que hubieran mostrado su oposición al tratamiento de sus datos con fines comerciales, lo que no hizo. En definitiva (…) ha incurrido en la infracción apreciada por vulneración del principio del consentimiento reconocido en el artículo 6.1 de la LOPD, pues pese a conocer desde marzo de 2009 la revocación del consentimiento del denunciante para el tratamiento de sus datos con fines comerciales, y con independencia de que con posterioridad dejara de ser cliente de la entidad y sus datos hayan sido obtenidos de la base de datos de puntos de suministros, no ha adoptado medida alguna para evitar el uso de sus datos personales para el envío de publicidad”. Dado que el supuesto examinado supone un tratamiento comercial y publicitario no consentido de los datos de carácter personal del denunciante por los motivos señalados, y como en el caso al que se refiere la sentencia anteriormente citada, no cabe duda de la existencia de ese ejercicio de derecho de oposición anterior al tratamiento realizado con fines comerciales y la falta de adopción de medidas efectivas del responsable del tratamiento para evitarlo. Y BANCO SANTANDER, S.A. no ha aportado documentación que legitime el tratamiento de datos personales del denunciante con fines publicitarios, con posterioridad a la oposición habida. En el presente caso, en consecuencia, BANCO SANTANDER, S.A. ha tratado los datos personales con fines publicitarios de la persona denunciante sin su consentimiento inequívoco y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD, en relación con el artículo 30.4 de la misma norma y en relación también con el artículo 48 del RLOPD, que encuentra su tipificación en el artículo 44.3.
8. b)de dicha norma. IV El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave en cualquier caso. El apartado 5 del artículo 45 de la LOPD, empero, deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, en concreto, su apartado a), dado que se dan las circunstancias concurrentes establecidas en el apartado 4, que se detallan a continuación: 1. El volumen de los tratamientos efectuados (apartado 4.b); hay que recordar que está acreditado en el expediente un solo envío de publicidad no deseada. 2. La naturaleza de los perjuicios causados (apartado 4.h), dado que dicho perjuicio no va más allá de la molestia que puede producir la publicidad remitida en el envío postal en cuestión, con la posible confusión que ello hubiera podido generar para el denunciante en relación con las ordenes sobre valores realizadas por él en diversas fechas (folios 22 a 37, 51 y 52). En cuanto a la graduación de la sanción hay que reseñar también la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Por lo que respecta a esos criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto opera como atenuante que no ha existido intencionalidad infractora por cuanto el tratamiento de datos con fines publicitarios se realizó conjuntamente con el información de información bancaria. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones anteriormente indicados, procede imponer una multa de 10.000 € por la infracción grave cometida. Vistos los preceptos citados y demás de general aplicación: La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO SANTANDER, S.A. multa de 10.000 € (diez mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.4 de la misma norma y en relación también con el artículo 48 del RLOPD; infracción tipificada como grave en el artículo 44.3.
24. b)de dicha norma y de conformidad con lo establecido en el artículo 45 de esa misma Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 SEGUNDO: NOTIFICAR la presente Resolución a BANCO SANTANDER, S.A., y a quienes aparezcan como interesados en el procedimiento administrativo. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es