← España

PS-00533-2014

1/10 Procedimiento Nº PS/00533/2014 RESOLUCIÓN: R/00012/2015 En el procedimiento sancionador PS/00533/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANKIA, S.A., vista la denuncia presentada por A.A.A.y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14/10/2013, tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por D. A.A.A. (en adelante denunciante), en el que denuncia a la entidad BANKIA, S.A. (en lo sucesivo BANKIA), manifestando lo siguiente: Que en el mes de septiembre de 2012, al renovar el carnet en la Universidad de Valencia le indicaron que la gestión la realizaba la entidad BANKIA, que dicho carnet puede tener funciones bancarias o no, dependiendo de si se firma un contrato voluntario con dicha entidad. Que en la oficina de BANKIA le indicaron que tenía una cuenta corriente abierta desde el 17/07/2008 en la sucursal **** de Valencia, nº ***CCC.1, añade que nunca firmó contrato con dicha entidad. Asimismo, la entidad financiera le comunicó que no tenían contrato firmado. El 14/11/2012, ejercitó el Derecho de acceso, por correo electrónico, adjuntando copia del DNI, a la dirección que consta en la página web de BANKIA <protecciondedatos@bankia.com>, pero no ha obtenido respuesta alguna, se adjunta impresión de dichos documentos. También, presenta denuncia ante la Dirección General de la Policía, el 13/09/2012, en la que denuncia los mismos hechos que los manifestados ante esta AEPD. Que con fecha de 23/05/2013, le comunican las Nuevas condiciones económicas del nº de cuenta corriente nº ***CCC.1 y con fecha de 26/07/2013, según acuse de recibo de la entidad, el denunciante dirige escrito a BANKIA solicitando la documentación contractual de la cuenta corriente. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANKIA, teniendo conocimiento de que: - La entidad financiera BANKIA ha comunicado a la Inspección de Datos, con fecha de 10/03/2014, en relación con la cuenta corriente a nombre del denunciante lo siguiente: - Según la información que consta en la base de datos, y que procede de BANCAJA, tanto la cuenta nº ***CCC.1 como la tarjeta nº ***NÚMERO.1 de las que es titular el denunciante están relacionadas con su condición de alumno de la Universidad de Valenciana, por lo que entienden que no ha habido ningún tipo de fraude. - En relación con las reclamaciones interpuestas por el cliente, según les informa la oficina correspondiente, el denunciante se negó a firmar el impreso correspondiente que justificaba la cancelación de la cuenta. Si bien, aportan copia del escrito del denunciante, de fecha de registro en el Servicio de Atención al Cliente el 26/07/2013. - En el Sistema de Información de Clientes constan los siguientes datos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 denunciante: nombre, apellidos, NIF, domicilio postal, sexo, estado civil, fecha de nacimiento y de alta. La cuenta no ha generado ninguna comisión de mantenimiento. TERCERO: Con fecha 29/09/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANKIA por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, mediante escrito de 06/10/2014 la representación de BANKIA solicito copia del expediente administrativo y ampliación del plazo para contestar; el 09/10/2014, mediante escritos del instructor le fue remitida copia del expediente, así como la ampliación del plazo de alegaciones. El 14/10/2014 el denunciante solicitó personarse en el procedimiento como interesado; el instructor mediante escrito de 17/10/20174, atendió su solicitud. El 06/10/2014, BANKIA presento escrito de alegaciones, formulando, en síntesis, las siguientes: que ha actuado en todo momento de conformidad con la normativa en materia de protección de datos sin que exista vulneración del principio de consentimiento; subsidiariamente aplicación del artículo 45.5 de la LOPD y aplicación del principio de proporcionalidad de conformidad con los criterios del artículo 45.4 de la LOPD. QUINTO: En fecha 07/08/2014 se inició un periodo de práctica de pruebas acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/00023/2014. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por BANKIA y la documentación aportada. - Solicitar a BANKIA copia del contrato nº ***CCC.1, Libreta Fácil, suscrito con el denunciante y copia del Convenio entre Bancaja (actualmente BANKIA) y Universidad de Valencia, en virtud del cual la entidad crediticia se encargaba de generar las tarjetas universitarias y la posibilidad de ser utilizadas como tarjetas de crédito vinculada a una cuenta. - Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido ó, cualquier otra manifestación en relación con los hechos denunciados. En fecha 18/11/2014 BANKIA dio respuesta a las pruebas requeridas cuyo contenido obra en el expediente. SEXTO: En fecha 03/12/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a BANKIA por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, con multa de 20.000 €, de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de BANKIA mediante escrito de 29/12/2014 formuló las siguientes alegaciones: dar por reproducidas las efectuadas con anterioridad y la aplicación a la sanción del principio de proporcionalidad en caso de no decretarse el archivo del procedimiento. HECHOS PROBADOS PRIMERO. Con fecha de 14/10/2013, tiene entrada en esta Agencia escrito del denunciante en el que manifiesta que le han aperturado una cuenta bancaria en BANKIA, oficina de la entidad en (C/................1), en Valencia, sin su consentimiento y, que solicitada copia del contrato, le han informado que no disponen del mismo (folio 1 y 2). SEGUNDO. Consta copia del DNI del denunciante nº ***DNI.1 (folio 7 y 8). TERCERO. Consta que el denunciante el 13/09/2012, interpuso denuncia ante la comisaría de policía de Valencia-Abastos como perjudicado manifestando que al renovar su carnet de profesor universitario había tenido conocimiento de que a su nombre existía cuenta bancaria que nunca había abierto, en la sucursal de BANKIA, en (C/................1); que informado de la misma le han dado su número ***CCC.1 y que su apertura se hizo presencialmente el 17/07/2008; que solicitada copia del contrato ha sido informado que dicho documento no se localizaba; que ha solicitado se le diera de baja y el empleado le ha manifestado que dicha cuenta carecía de movimientos y que no se podía anular de oficio sino que había que solicitarlo a lo que se ha negado (folio 3 y 4). CUARTO. Consta que el 14/11/2012 el denunciante ejercitó ente BANKIA el derecho de acceso, sin que obtuviera respuesta alguna (folio 5 a 8). QUINTO. Consta que el denunciante solicitó el 26/07/2013, mediante escritos dirigidos al Director de la Sucursal de BANKIA en (C/................1), -Valencia, copia del documento contractual de la Libreta Fácil suscrito con la entidad (folio 9), así como la depuración de las responsabilidades a que hubiera lugar por la apertura de la cuenta y que se procediera a su cancelación de oficio por no haber sido aperturada por él (folio 10). No consta respuesta alguna de la entidad. SEXTO. El denunciante ha aportado comunicación remitida por BANKIA al denunciante de fecha 22/05/2013 en la que le informan sobre las nuevas condiciones económicas del producto que tiene contratado con la entidad Libreta Fácil número de cuenta ***CCC.1 (folio 11). SEPTIMO. BANKIA, en escrito de 10/03/2014, ha aportado impresiones de pantalla donde constan los datos personales del denunciante así como el producto contratado: Libreta Fácil asociada al nº ***CCC.1, manifestando que “Según la información que consta en nuestra base de datos y que hemos podido recabar de Bancaja, tanto la cuenta nº…, como la tarjeta nº…, de la que es titular el denunciante, están relacionadas con su condición de alumno de una universidad valenciana, por lo tanto, entendemos que no ha habido ningún tipo de fraude”, y que la cuenta no había generado ninguna comisión de mantenimiento (folio 17 y 20). OCTAVO. BANKIA en escrito de 29/10/2014 ha manifestado que “…los datos personales de el denunciante fueron incluidos en los sistemas de tratamiento de Bancaja dada su condición de alumno de la Universidad de Valencia. Dichos datos fueron comunicados por la Universidad de Valencia a Bancaja en virtud del convenio suscrito entre ambas entidades, por el que Bancaja se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 encargaba (entre otras cuestiones) de generar las tarjetas universitarias de las que se haría entrega a los titulares de las mismas. Por tanto, era la Universidad de Valencia, como entidad que recababa los datos de los alumnos en primera instancia, la responsable de informar a los estudiantes sobre la cesión de sus datos a Bancaja (…). Por tanto y de acuerdo a lo expuesto, los datos personales pasaron a ser incluidos en un fichero titularidad de Bancaja para la gestión de dicha tarjeta, que tenía la posibilidad así mismo de ser empleada como tarjeta de crédito vinculada a una cuenta si el titular consentía en ello” (folios 74 y 75). NOVENO. BANKIA no ha podido acreditar el consentimiento inequívoco del denunciante para el tratamiento de sus datos, ni ha aportado documento alguno, grafico o sonoro, en relación con la contratación del producto Libreta Fácil y nº de cuenta citado con anterioridad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a BANKIA en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. BANKIA no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco del denunciante para el tratamiento de sus datos de carácter personal, materializado en la contratación de la cuenta nº ***CCC.1, modalidad Libreta Fácil, suscrita el 17/07/2008. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a BANKIA tratar los datos del denunciante sin su consentimiento. III BANKIA ha alegado que era la Universidad de Valencia la que recababa los datos de los alumnos y era la responsable de informar sobre su cesión a BANKIA, quien posteriormente los incluía en un fichero de su titularidad para la gestión de la tarjeta (carnet joven) que tenía la posibilidad de ser empleada como tarjeta de crédito vinculada a una cuenta si el titular consentía en ello. Ahora bien, lo que se trata de dilucidar en el presente caso es si BANKIA disponía del consentimiento del denunciante para la apertura de la cuenta vinculada a la citada tarjeta, cuestión que no ha sido acreditada. Hay que señalar que la Audiencia Nacional ha señalado con reiteración en numerosas sentencias que la negativa del denunciante, en el sentido de no haber otorgado su consentimiento inequívoco a la entidad denunciada para el tratamiento de sus datos de carácter personal, traslada a ésta última la carga de probar el citado consentimiento. En este sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Por tanto, corresponde a BANKIA, estar en condiciones de acreditar que había obtenido el consentimiento del denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. IV De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  4. b)tipifica como infracción grave “
  5. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En le presente caso, BANKIA ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. La entidad mencionada ha tratado los datos del denunciante sin contar con su consentimiento, materializado en la contratación de una cuenta bancaria, modalidad Libreta Fácil, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
  6. b)de la citada Ley Orgánica. V El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el supuesto examinado, BANKIA ha solicitado subsidiariamente la aplicación del artículo 45.5 de la LOPD consecuencia de las circunstancias concurrentes en el presente caso que disminuyen la culpabilidad y antijuridicidad del hecho y, además, el artículo 45.4 graduando la sanción en grado mínimo a la luz de los criterios señalados y no haberse producido perjuicio alguno al denunciante, el volumen de tratamientos efectuados, la ausencia de beneficios, el grado de intencionalidad y la falta de reincidencia. Hay que señalar que el apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que BANKIA vulneró el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento inequívoco, materializado en la contratación de la cuenta nº ***CCC.1, modalidad Libreta Fácil, suscrita el 17/07/2008; tratamiento para el que BANKIA no estaba habilitada pues ni tenía el consentimiento del denunciante ni concurría ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a BANKIA tratar los datos del denunciante sin su consentimiento, por lo que su actuación ha de ser merecedora de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto contemplado en el artículo 45.5,
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, proceso que culminaría en mayo de 2011, ante el notario de Madrid D. B.B.B. por el cual se elevó a público la escritura de segregación del negocio bancario de BFA (Caja Madrid, Bancaja, La Caja de Canarias, Caja Ávila, Caixa Laietana, Caja Segovia, y Caja C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Rioja) a favor de BANKIA, no siendo imputable a la misma la infracción cometida dado que la infracción fue anterior a dicho proceso de absorción, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación, es por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Tampoco consta actuación diligente por la infractora para regularizar la situación irregular, lo que impide aplicar el atenuante previsto en el apartado
  23. b)del artículo 45.5 de la LOPD. BANKIA no solo no respondió a la solitud de acceso de 14/11/2012, sino que siguió tratando los datos del denunciante al menos hasta el 23/05/2013. En cuanto a los criterios de graduación de las sanciones, BANKIA ha invocado la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de minorar la cuantía de la sanción a imponer. En cuanto a la circunstancia prevista en el apartado
  24. f)del artículo 45.4, relativa al grado de intencionalidad, dicha expresión debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en el apartado
  25. h)del artículo 45.4, tampoco puede aceptarse. La Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Alega igualmente la representación de BANKIA la circunstancia prevista en la letras g), ausencia de reincidencia; sin embargo, es necesario señalar que la citada circunstancia no puede ser invocada como atenuante de la conducta infractora, premiando la no infracción de la normativa sobre protección de datos y el cumplimiento de deberes que la ley impone, aunque podría ser utilizada como agravante de la conducta a enjuiciar e incrementando la sanción a imponer. Además, si al procedimiento sancionador le son de aplicación los principios inspiradores del derecho penal, parece obvio que dicha circunstancia no pueden ser tenida en cuenta como atenuante y en ese mismo sentido se pronuncia la Audiencia Nacional en numerosas sentencias, entre otras, la de fecha 10/05/2013, cuando establece “Así las cosas, el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad,… Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del art. 45 de la LOPD deben concurrir dos o más circunstancias del apartado 4 del mismo art. 45, y además de manera "significativa", circunstancias significativas que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 circunstancia agravante la reincidencia, y es un hecho notorio la reiteración de conductas infractoras en materia de protección de datos por parte de la sociedad recurrente. A ello debemos de añadir, que la parte actora no actuó con la debida diligencia ya que de conformidad con la documentación que figura en el expediente, el denunciante se puso en contacto en varias ocasiones con la parte demandante para exponer su disconformidad con las penalizaciones aplicadas…” Por otra parte, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
  26. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
  27. d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran entidad financiera por cuota de mercado. Ya se ha señalado anteriormente que la LOPD prevée en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad y, es por ello, que al margen de que en la conducta de la entidad denunciada se aprecie como atenuante la circunstancia prevista en el apartado
  28. e)la ausencia de beneficios como consecuencia de la comisión de la infracción, la concurrencia de las circunstancias agravantes expresadas en el párrafo precedente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se propone una sanción de 20.000 €, por vulneración del artículo 6.1 de la LOPD, de la que BANKIA debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANKIA, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  29. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BANKIA, S.A. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.