PS-00481-2013

1/8 Procedimiento Nº PS/00481/2013 RESOLUCIÓN: R/00450/2014 En el procedimiento sancionador PS/00481/2013, instruido por la Agencia Española de Protección de Datos a la entidad CAJAS RURALES UNIDAS, S.C.C. (con anterioridad CAJAMAR CAJA RURAL, S. C. C.) vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/10/2012, tiene entrada en la Agencia Española de Protección de Datos (AEPD) escrito remitido por Dª A.A.A. (en adelante denunciante) en el que manifiesta que el director de la sucursal de Cabezón de Torres de la entidad CAJAMAR CAJA RURAL (en la actualidad CAJAS RURALES UNIDAS, S.C.C. y en lo sucesivo CRU) facilitó a la madre de su exmarido (tercero) información personal relativa a un producto financiero que estaba gestionando. Añade que, el director de la citada sucursal llamó a la sucursal de dicha entidad en la localidad del Puntal solicitando información de la denunciante y la facilitó al tercero y así lo reconoce en la conversación mantenida con la denunciante, cuya grabación se adjunta en soporte CD. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos: 1. En el soporte CD aportado por la denunciante en el que se reproduce una grabación de una conversación telefónica mantenida entre dos personas, la denunciante (DTE) y el director de la sucursal (DDO) y en el que consta, entre otros, los siguientes extremos: - DTE: (…) han venido preguntando por cosas que yo creo que son confidenciales, es un trámite que estoy haciendo yo, rehipotecando mi casa (…). No tenías que haber llamado por teléfono para informar a nadie (…). No tenías que haberle dado información Jesús, es cosa mía, (…). - DDO: aquí vino tu suegra y me dijo (…) mi nuera me ha dicho que está en el Puntal haciendo una hipoteca (…), se han separado (…), me dijo que tenías que darle XX millones de pesetas. Yo llame al Puntal y les pregunte que sí estaban haciendo esta operación (…). Ella vino con información, yo de cantidad no le dije nada, me dijo todos los datos (…), le dije por tranquilizarle que si la casa era de él tendría que firmar (…). Me metió el gol, me engaño, vino en plan de victima (…), yo no tenía que haberle dado ninguna información de ningún tipo (…). Yo no tenía mala intención, ni sabía nada (…). No te preocupes que no le voy a dar más información (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 2. La Inspección de Datos ha requerido a la denunciante para que concretara los datos personales que fueron facilitados al tercero. Dando respuesta informando que los hechos ocurren en junio de 2013 y que “le enseñó mi estado bancario, todos los detalles del préstamo que había solicitado para rehipotecar la vivienda de mi propiedad, las cuotas que tenía que abonar y el plazo, esto es, le dio datos sobre mi persona y mi estado bancario, que esa señora, no tiene porqué conocer”. Añade que en el CD con la grabación de la conversación que mantuvo con el director del banco así lo reconoce. 3. La entidad CAJAMAR CAJA RURAL ha informado a la Inspección de Datos, con fecha de 11 y 18/06/2013, en relación con los datos personales de la denunciante facilitados a un tercero lo siguiente: - Como consecuencia del proceso de fusión del cual formó parte CAJAMAR CAJA RURAL, S.C.C. tuvo lugar el nacimiento de una nueva entidad CRU, que se formalizó dicha fusión con fecha de 31/10/2012. Por lo que los trámites referentes a las presentes actuaciones serán realizados por la nueva sociedad dada la sucesión universal respecto de los derechos y obligaciones de CAJAMAR CAJA RURAL. - La denunciante es clienta de la entidad desde el día 07/07/1998 y no les consta el hecho denunciado ni reclamación al respecto. TERCERO: Con fecha 18/09/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CRU por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, CRU, mediante e-mail de fecha 24/09/2013 remitía escrito solicitando copia del expediente. La representación de la entidad, en fecha 27/09/2013, se personó en esta Agencia tomando vista del expediente y copia del mismo. En escrito de 04/10/2013, la representación de CRU presentó escrito, formulando en síntesis las siguientes alegaciones: la prescripción de la infracción y la inexistencia de la misma. QUINTO: Con fecha 08/10/2013 se inició el período de práctica de pruebas en relación, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/07745/2012. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00481/2013 presentadas por CRU y la documentación que a ellas acompaña. Solicitar a la denunciante copia de la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas ó, cualquier otra manifestación en relación con los hechos denunciados. Con fecha 12/11/2013 la denunciante dio respuesta a la prueba practicada cuyo contenido obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 SEXTO: En fecha 27/01/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se archivara a CRU por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma. Asimismo, en cumplimento de lo establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. Transcurrido el plazo concedido para formular alegaciones, la representación de la entidad no había presentado escrito alguno. HECHOS PROBADOS PRIMERO. En fecha 30/10/2012, tiene entrada en esta Agencia escrito de la denunciante manifestando que el director de la oficina de CRU había facilitado a una tercera persona, su ex suegra, información relacionada con la hipoteca de su casa (folio 1 y 2). SEGUNDO. La denunciante aporta copia de su DNI nº ***DNI.1, con domicilio C/ (C/......................1) (Murcia), coincidente con el indicado en la denuncia (folio 3 y 4). TERCERO. La denunciante ha aportado copia de un CD conteniendo la grabación de una conversación mantenida por el jefe de la oficina de CRU y la denunciante, en la que el empleado de la entidad confirma que aportó a una tercera persona información sobre una operación de préstamo hipotecario que estaba realizando la denunciante (folio 4 bis). CUARTO. CRU ha aportado copia de la escritura oferta de préstamo unilateral con garantía hipotecaria, formalizada en Murcia ante el Notario M.M.M., en la que participa la denunciante en calidad de parte prestataria, el 27/09/2011, y en la que las parte deudora acepta el préstamo que le ha sido concedido por CAJAMAR (actualmente CRU) (folios 52 y ss). QUINTO. Consta que la denunciante, en escrito de 24/07/2013, en respuesta a la pregunta “Nos indique la fecha en la cual el Sr. B.B.B. facilitó la información a la madre de su exmarido”, ha señalado “Que estos hechos ocurren en junio de 2013” (folio 24). SEXTO. CRU no ha podido acreditar que cuente con el consentimiento el consentimiento o autorización de la denunciante para la revelación de sus datos en relación con la contratación de préstamo con garantía hipotecaria sobre su vivienda. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Se imputa a CRU en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el presente caso, la afectada ha denunciado que el Director de la oficina de la entidad CRU, situada en Cabezo de Torres (Murcia), había facilitado a un tercero, madre de su ex marido, información concerniente a la hipoteca de su vivienda. Aporta la denunciante grabación de un CD donde consta la conversación mantenida por la denunciante y el empleado de la entidad, donde éste reconoce su equivocación al proporcionar a aquella persona información sobre la operación de préstamo hipotecario que estaba llevando a cabo la denunciante en relación con su vivienda. Es posible extractar de la grabación lo siguiente: “yo no tenía que haberle dado información de ningún tipo”, “me metió el gol, me engaño y ya está”. Solicitada información sobre la fecha en que ocurrieron los hechos denunciados, la denunciante, en respuesta de fecha 24/07/2013, ha indicado “Que estos hechos ocurren en junio de 2013”. Sin embargo, tal y como consta en los hechos probados, la citada operación de préstamo hipotecario fue formalizada ante el Notario de Murcia D. M.M.M., el 27/09/2011, mediante escritura en la que la denunciante participa en calidad de una de las partes prestatarias o deudoras del préstamo concedido por CRU, de lo que se desprende que la conversación que consta grabada en el CD y que es aportado como prueba tuvo que ocurrir necesariamente antes de la citada fecha. De la citada conversación extractamos diversos contenidos donde se pone de manifiesto que la fecha de la misma tuvo que ser anterior al mes de agosto de 2011: Denunciante: “Tu sabes que yo estoy hipotecando la casa” Empleado: “En el Puntal no, si, me suena algo” Denunciante: “Es que me han dicho que han venido aquí preguntando por cosas que yo creo que esto es confidencial…” (…) Denunciante:…yo con todo mi esfuerzo voy a rehipotecar mi vivienda… (…) Empleado: Yo de cantidades no le hable, porque yo si… yo fue la llamada, fue a ***NOMBRE.1, oye esto, estáis haciendo esto… sí…y ya está, yo cantidades no le dije, yo cantidades no le dije Denunciante: Pues según tengo entendido si Empleado: Yo no le dije cantidades Denunciante: Hasta las cantidades de dinero y esos rollos (…) Empleado: “Ella si dijo que tu tenías que darle equis millones de pesetas.. que no me acuerdo de las cantidades que eran… porque hace ya un mes, antes de irme yo de vacaciones…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 (…) Empleado: Me metió el gol, me engaño y ya está… (…) Empleado: Pero ella ya venía con información Denunciante: Claro con información, porque todavía está en mi casa ***NOMBRE.2, entonces, yo le tengo que ir informando, pues…es normal… claro… pero es normal que si me dice pues tal día… pues mira, si ya podíamos haber firmado hace dos o tres semanas pero llego el papel de la sentencia para que fuera a recogerla y no fue.. Tampoco a recoger la sentencia ahí a Espinardo, me parece que le tocaba recogerla…claro nos hemos metido en el mes de agosto, no esta sentencia firme, todavía no se puede firmar… Hay que indicar que la Ley 30/1992, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común, que regula con carácter general el instituto de la prescripción, hace una remisión normativa a las leyes especiales por razón de la materia objeto de regulación. En este sentido, el artículo 132.1 dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan.” La LOPD, establece en el artículo 47, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquél en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor”. En el presente caso, se deduce que la supuesta infracción que se podría alegar sería la contemplada en el artículo 44.3 de la LOPD, relativo a las infracciones graves y en concreto el apartado
4. d)es decir “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse con anterioridad al mes de agosto de 2011, que fue cuando tuvo lugar la conversación mantenida por la ex suegra de la denunciante y el empleado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 CRU donde se reconoce supuestamente la revelación de los datos. Además, de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 132.2 de la LRJPAC, el único modo de interrumpir el cómputo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador. En este mismo sentido se pronuncia la A.N. en sentencia de 07/06/2005, que dice “sólo podrá operar con efecto interruptor del plazo de prescripción la fecha de comunicación al interesado del acuerdo de iniciación del expediente sancionador…” Por tanto, el “dies ad quem” viene determinado por el acuerdo de inicio del procedimiento sancionador con conocimiento del interesado, es decir, el 25/09/2013, resultando que la posible vulneración del principio de consentimiento está considerado como una infracción grave, que, por tanto, prescribe a los dos años, habiendo quedado acreditado que la misma había prescrito cuando se acordó la apertura del presente procedimiento sancionador, con conocimiento del interesado. La prescripción, responde al principio de seguridad jurídica, que garantiza que los administrados no queden, indefinidamente, sometidos al ejercicio por la administración de su poder sancionador, y puedan conocer con certeza, el momento en que no serán sancionados por el ilícito cometido. Así lo ha entendido la jurisprudencia al considerar que la prescripción opera con el fin de que sea pronta la reacción social al incumplimiento de la normativa protegida por la amenaza de la sanción prevista en la ley administrativa (STS de 13 de febrero de 1991). En cuanto a los efectos de la prescripción, y ante el silencio tanto de la LOPD como de la Ley 30/1992, hay que aplicar lo previsto en el artículo 6 del RD 1398/1993 que recoge el procedimiento para el ejercicio de la potestad sancionadora y del que resulta que cuando de las actuaciones previas se concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador; en caso de que ya se hubiera iniciado el procedimiento, debería acordarse su archivo o si se hubiera interpuesto recurso contencioso debería estimarse la impugnación por entender que la resolución administrativa impugnada se había dictado fuera de plazo. En el presente caso, dado que la vulneración del principio del deber de guardar secreto está considerado como una infracción grave, que, por tanto, prescribe a los dos años, ha quedado acreditado que la misma había prescrito cuando se acordó la apertura del presente procedimiento sancionador, con conocimiento del interesado. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad CAJAS RURALES UNIDAS, S.C.C.(con anterioridad CAJAMAR CAJA RURAL, S. C. C.), por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
5. d)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a CAJAS RURALES UNIDAS, S.C.C. (con anterioridad CAJAMAR CAJA RURAL, S. C. C.) y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es