1/12 Procedimiento Nº PS/00521/2013 RESOLUCIÓN: R/00569/2014 En el procedimiento sancionador PS/00521/2013, instruido por la Agencia Española de Protección de Datos a la entidad CAJA DE AHORROS DE ASTURIAS, LIBERBANK, SA, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27/11/2012, tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara que el día 20 de noviembre al acceder a la banca electrónica de CAJASTUR (en la actualidad LIBERBANK, S.A., para lo sucesivo LIBERBANK) con su propio usuario, pudo consultar datos de otros usuarios en dos accesos distintos. Indica que pudo ver ingresos en cuentas, pagos del IBI, nóminas, etc. Aporta impresión de pantalla de cada uno de los accesos así como un documento pdf conteniendo un adeudo por domiciliación que descargó. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos: - Se ha solicitado a LIBERBANK copia del Registro de Incidencias donde se refleje la incidencia ocurrida el día 20/11/2012, su duración, efectos y acciones emprendidas o medidas correctoras aplicadas por la entidad, aportando al requerimiento las evidencias aportadas por el denunciante. Recibida la documentación se constata lo siguiente: Consta una incidencia registrada de número ***NÚMERO.1, en cuya descripción y análisis se cita que el 20/11/2012, algo después de las 13:00 se reciben llamadas en el servicio de atención telefónica de clientes afirmando que están viendo en la consulta de Correo Web de banca a distancia documentos de cuentas que no eran suyas. El motivo de la incidencia se debió a que al servidor de banca electrónica estaba enviando el mismo valor de identificación de la sesión del cliente para distintos clientes, debido a que dicho dato se estaba almacenando en memoria caché del servidor de aplicaciones de forma indebida. Debido a la integración informática de CAJA EXTREMADURA, se produjeron numerosos cambios en esas fechas, por lo que el comportamiento anómalo se pudo deber a diversas posibilidades, motivadas por cambios en el proxy, firewall, en la máquina virtual java, en el servidor web o en otras aplicaciones. En cualquier caso, la resolución del problema se basó en cambios realizados para evitar que el identificador de sesión almacenado en caché prevaleciera sobre los datos correctos. Desde el 20/11/2012 a las 15:00 hasta el 21/01/2013 a los clientes no se les permite realizar las consultas que generan el incidente. El 21/01/213 se pone en producción el nuevo desarrollo. En los informes sobre la incidencia así como en el Registro de Incidencias se cita que el problema está solucionado, manifestando los representantes de la entidad que no se ha producido desde entonces ninguna anomalía en el funcionamiento de la operatoria en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Sobre el número de clientes que se vieron afectados consta que desde las primeras conexiones erróneas que se produjeron a las 13:09 hasta el corte del servicio dos horas más tarde, 66 usuarios de banca a distancia tuvieron acceso a documentos de correspondencia de otros clientes en concreto de 3 clientes diferentes ya que en tres series consecutivas de consultas se presentaban siempre los documentos de un mismo cliente cada vez. 39 usuarios tuvieron acceso a los documentos del cliente 1, 3 usuarios tuvieron acceso a documentos del cliente 2 y 27 usuarios tuvieron acceso a documentos del cliente 3 (algunos usuarios tuvieron acceso a documentos de más de un cliente). TERCERO: Con fecha 10/04/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a LIBERBANK, por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, LIBERBANK mediante escrito de fecha 13/11/2013, formuló en síntesis las siguientes alegaciones: que nos hallamos ante una incidencia producida en un momento puntual debido a la emigración de las bases de datos de viejos sistemas informáticos individuales a los actuales comunes, no pudiendo aludirse una falta de diligencia en la actuación de la entidad denunciada, puesto que la entidad cuenta con procedimientos específicos para el tratamiento de datos personales rigurosos y exhaustivos la que el incidente es especial y ajeno a la entidad por causas no previsibles y que el problema fue solucionado inmediatamente; que se aplique en el presente caso al artículo 45.6 de la LOPD; la aplicación del principio de proporcionalidad y subsidiariamente el 45.5 de la LOPD. QUINTO: Con fecha 13/05/2013, se inició el período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/000409/2013. Da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00521/2013 presentadas por LIBERBANK S.A. Solicitar al denunciante copia de la documentación que obrara en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó cualquier otra manifestación en relación con los hechos denunciados. En fecha 21/05/2013 LIBERBANK aportaba certificación expedida por las empresas SERESCO y TREELOGIC en relación con las incidencias detectadas en la aplicación informática, cuyo contenido obra en el expediente. SEXTO: En fecha 03/02/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a LIBERBANK por infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma, con multa de 20.000 € (treinta mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 La representación de LIBERBANK mediante escrito de fecha 27/02/2014 reiteraba las alegaciones realizadas con anterioridad y, además, que la entidad tiene implantadas y cumple con las medidas de seguridad que imponen la LOPD y su Reglamento, siendo los hechos acaecidos consecuencia de una situación totalmente excepcional y anómala siendo subsanado con la máxima diligencia en cuanto se tuvo conocimiento del incidente y sin que el mismo haya vuelto a producirse; la ausencia de culpabilidad y que se proceda al archivo del expediente.. HECHOS PROBADOS PRIMERO. En fecha 27/11/2012, tiene entrada en esta AEPD escrito del afectado, en el que denuncia que el 20/11/2012 al acceder a la banca electrónica de LIBERBANK ha podido consultar datos de otros usuarios; en accesos distintos ha podido consultar datos de dos usuarios diferentes en cada caso (folio 1). SEGUNDO. El denunciante ha aportado copia de impresiones de pantallas de la web Cajastur-banca a distancia, en las que se muestran los documentos generados entre las fechas 01/10/2012 y 20/11/2012 relativos a clientes de LIBERBANK, figurando números de cuentas bancarias, clase de documentos y su descripción: recibos, nominas, reintegros, intereses, etc., fecha de cada uno de ellos, su importe, pudiendo acceder igualmente a la información detallada de cada uno de los citados documentos (se aporta adeudo por domiciliación del recibo de IBI de un cliente descargado por el denunciante) (folios 3 y 4). TERCERO. LIBERBANK, en escrito de fecha 11/06/2013, ha señalado en relación con los hechos denunciados que se produjo una incidencia “que consta en nuestro Registro con el número ***NÚMERO.2”, donde se recoge lo acontecido (folio 11). CUARTO. Consta aportado por LIBERBANK el documento Incidencia ***NÚMERO.3, en cuyo epígrafe Cronología de los hechos, se indica que “El día 20 de noviembre de 2012, algo después de las 13:00 se reciben llamadas en el servicio de atención telefónica de clientes (Contact Center) de clientes que afirmaban que estaban viendo en la consulta de Correo Web de banca a distancia documentos de cuentas que no eran suyas… y que “Tras el análisis de los logs de la aplicación de correspondencia se ha verificado que las primeras conexiones erróneas se produjeron a las 13:09. Hasta el corte del servicio dos horas más tarde, 66 usuarios de banca a distancia tuvieron acceso a documentos de correspondencia de otros clientes, en concreto 3 clientes diferentes ya que en tres series consecutivas de consultas se presentaban siempre los documentos de un mismo cliente cada vez. 39 usuarios tuvieron acceso a los documentos del cliente 1, 3 usuarios tuvieron acceso a documentos del cliente 2 y 27 usuarios tuvieron acceso a documentos del cliente 3 (algunos usuarios tuvieron acceso a documentos de más de un cliente)”. (folios 11 y 12). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Se imputa a la entidad LIBERBANK la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
- a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 personal recabados por LIBERBANK, correspondiendo adoptar las calificadas de nivel medio, en atención al tipo de información básica que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.2 del citado Reglamento señala que: “Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de carácter personal: …
- d)Aquéllos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestación de servicios financieros”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. También, el artículo 5.2.
- b)del Reglamento de desarrollo de la LOPD define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad LIBERBANK, estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, como lo recoge el informe descriptivo de la incidencia 2012-MTCS-988D9C, aportado por la propia entidad denunciada (folio 13 a 15), puesto que la aplicación implantada no impidió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 que el denunciante, cliente de la entidad, pudiera acceder a datos personales de otros clientes usuarios de la entidad. En concreto, consta que el denunciante accedió el 20/11/2012, mediante su clave de usuario, comprobando que podía visualizar movimientos, números de cuentas, saldos, etc, datos personales que correspondían a otros clientes de la entidad. La propia entidad ha señalado que: “…66 usuarios de banca a distancia tuvieron acceso a documentos de correspondencia de otros clientes,…” (folio 11, final). Por tanto, el mecanismo de acceso a la información contenida en los sistemas de la entidad, no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto mostró datos que no pertenecían a los usuarios identificados. En consecuencia, se considera que la entidad LIBERBANK ha incurrido en la infracción grave descrita. Tales hechos quedaron acreditados por la documentación aportada por el denunciante, que incluía las impresiones de pantalla que contenía la información a la que accedió el mismo, que muestra los datos personales identificativos de otro clientes, los productos bancarios contratados, saldos, etc. (folios 3 y 4) y que han sido reconocido por LIBERBANK. III Alega la representación de LIBERBANK que en el presente caso todo se debido a una incidencia excepcional, un fallo puntual en el tiempo ajeno a la entidad, no dándose los elementos de culpabilidad necesarios para imputarle la citada infracción. Cabe señalar al respecto, entre otras, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
- d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este sentido la Sentencia de la Audiencia Nacional, de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilístico para que concurran los elementos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. Por tanto, es a LIBERBANK a quien le corresponde adoptar las medias de seguridad adecuadas que imposibiliten el acceso por parte de terceros usuarios a los datos de carácter personal de clientes de la misma. En el presente caso, se han incumpliendo las exigencias contenidas en la normativa sobre protección de datos, sobre control de accesos, identificación y autenticación de usuarios, por lo que debe considerarse que LIBERBANK ha vulnerado la LOPD. Por otra parte, en cuando a la alegación de la representación de LIBERBANK invocando la resolución dictada por la AEPD en el expediente E/00636/2013, la actuación de la entidad es diferente a la enjuiciada en la citada resolución, existiendo circunstancias específicas que no son trasladables al supuesto examinado. IV El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que LIBERBANK ha incurrido en la infracción grave descrita. V El artículo 45.1, 2, 4 y 5 LOPD, según su redacción aprobada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, aplicable al presente supuesto, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. LIBERBANK ha solicitado la aplicación del principio de proporcionalidad, al concurrir circunstancias que atenúan la culpabilidad y antijuridicidad del hecho, como la ausencia de beneficios, falta de intencionalidad, existencia de procesos y de controles internos para el tratamiento de los datos y, además, subsidiariamente el artículo 45.5 de la LOPD, al haber actuado con la diligencia exigible en estos casos. El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, ha quedado acreditado que LIBERBANK vulneró el principio de seguridad contenido en el artículo 9.1 de la LOPD, al posibilitar el acceso por parte de terceros, clientes de la entidad, a los datos de carácter personal de otros clientes de la misma, permitiendo visualizar los datos relativos a números de cuenta, movimientos, saldos, recibos, nominas, reintegros, adeudos, etc., incumpliendo las exigencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 contenidas en la normativa sobre protección de datos, sobre control de accesos, identificación y autenticación de usuarios, por lo que la actuación de LIBERBANK ha de ser objeto de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia de dos de los supuestos contemplados en el artículo 45.5, el
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que la entidad tan pronto como tuvo conocimiento de los hechos actuó de manera inmediata para corregir la situación adoptando las medidas adecuadas, así como los cambios necesarios en el proceso informático implantado para evitar que volviera a producirse y, el
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, consecuencia del otorgamiento de escritura en virtud de la cual LIBERBANK se subrogaba en la totalidad de derechos, acciones, obligaciones, responsabilidades y cargas del negocio bancario segregado y aportado por CAJASTUR, CAJA EXTREMADURA Y CAJA CANTABRIA, no siendo imputable a la misma la infracción cometida dado que la infracción fue anterior a dicho proceso de absorción, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación, es por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, hay que destacar que LIBERBANK a pesar de que la incidencia estaba solucionada, prefirió buscar otras soluciones de tipo técnico a fin de garantizar la seguridad. LIBERBANK ha alegado que también concurriría el apartado
- a)del artículo 45.5 al concurrir varios de los criterios señalados en el artículo 45.4 de la LOPD Conviene recordar el artículo 45.5 de la LOPD ha sido tenido en cuenta al concurrir en el presente caso las circunstancias previstas en el apartado
- b)y
- e)del citado artículo, posibilitado sancionar a la denunciada con la escala de sanciones prevista para las infracciones leves por la infracción grave de la que resulta responsable; pero hubiera bastado la concurrencia de una sola de ellas para posibilitar su aplicación, siendo irrelevante que concurran varias de ellas pues la consecuencia y efectos jurídicos de su aplicación hubiera sido conseguida con una sola de ellas. Sin embargo, de las circunstancias apuntadas por la representación del recurrente en el presente escrito como criterios que deben ser tenidos en cuenta la resolución, no concurren. Así, en cuanto a la circunstancia prevista en el apartado
- f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en el apartado
- i)del artículo 45.4 de la LOPD, alegado por la entidad en el sentido de que contaba con procedimientos específicos para el tratamiento de los datos de carácter personal y que el protocolo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 establecido se ha venido utilizando sin ningún problema, como lo certifican los responsables de las empresas SERESCO y TREELOGIC, tampoco puede aceptarse. La Audiencia Nacional ya ha señalado en sentencia de 22/10/2008 que “El hecho de que una empresa tenga establecidos protocolos de actuación para estos supuestos, sobre los que no cabe efectuar objeción alguna, no significa que en la práctica, como ha sucedido en el caso de autos, no pueda infringir o apartarse de lo establecido en el citado protocolo”. Y en cuanto a la ausencia de beneficios, la Audiencia Nacional en sentencia de fecha 02/12/2010, señala que “También ha considerado la Sala irrelevante a los efectos de la aplicación de la citada atenuación privilegiada la falta de beneficios para la recurrente o la ausencia de perjuicios para el denunciante”. Alega igualmente la representación de LIEBERBANK las circunstancia prevista en la letra
- g)falta de reincidencia; sin embargo, tal circunstancia por su propia naturaleza no puede operar como atenuante, premiando la no infracción de la normativa sobre protección de datos, aunque sí podría ser utilizada como agravante de la conducta a enjuiciar e incrementando la sanción a imponer. Además, si al procedimiento sancionador le son de aplicación los principios inspiradores del derecho penal, parece obvio que dicha circunstancia no puede ser tenida en cuenta como atenuante y en ese mismo sentido lo señala la Audiencia Nacional en numerosas sentencias, entre otras, la de fecha 10/05/2013, cuando establece “Así las cosas, el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad,… Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del art. 45 de la LOPD deben concurrir dos o más circunstancias del apartado 4 del mismo art. 45, y además de manera "significativa", circunstancias significativas que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notorio la reiteración de conductas infractoras en materia de protección de datos por parte de la sociedad recurrente. A ello debemos de añadir, que la parte actora no actuó con la debida diligencia ya que de conformidad con la documentación que figura en el expediente, el denunciante se puso en contacto en varias ocasiones con la parte demandante para exponer su disconformidad con las penalizaciones aplicadas…” Por otra parte, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
- c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
- d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran entidad entidad financiera por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 20.000 €, por vulneración del artículo 9.1 de la LOPD, de la que LIBERBANK debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 PRIMERO: IMPONER a la entidad LIBERBANK, SA, por una infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a LIBERBANK, SA y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es