← España

PS-00539-2017

1/8 Procedimiento Nº PS/00539/2017 RESOLUCIÓN: R/01005/2018 En el procedimiento sancionador PS/00539/2017, instruido por la Agencia Española de Protección de Datos a la entidad BANKINTER, S.A.., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 17/05/2017 tiene entrada en esta Agencia denuncia de A.A.A. (en lo sucesivo el denunciante) en la que pone de manifiesto que: D.  “Datos bancarios de mi titularidad se habían dado a conocer a personas distintas a las autorizadas para su tratamiento”, que “han sido facilitados por BANKINTER, S.A.. y se han aportado a un procedimiento judicial por la representación procesal y defensa letrada de dicha entidad bancaria, mediante escrito de contestación a la demanda que previamente fue interpuesta por mi hija. Se trata del procedimiento ordinario núm. XXX.1/2016 que se está tramitando en el Juzgado de Primera Instancia número X.1 de ***LOC.1 (Barcelona)  “No soy parte ni he efectuado intervención alguna en el mencionado procedimiento judicial, estando establecida la relación jurídico-procesal – hasta donde sé- únicamente entre mi hija y la entidad BANKINTER, S.A..”.  Además, “se incorpora a la contestación a la demanda, como Documento 3 bis, un extracto integral de movimientos de mi cuenta relativa al préstamo desde fecha 9 de octubre de 2001 hasta 9 de marzo de 2017; con 11 páginas con un total de 377 apuntes bancarios”. El denunciante, el 26/09/2107, comunica la celebración de la audiencia previa del procedimiento judicial señalado, e informa que “en el acto de la vista se puso de manifiesto que el Documento 3 bis acompañado a la contestación a la demanda de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 BANKINTER, S.A.. constituía una prueba ilícita de conformidad con el art. 287 de la Ley de Enjuiciamiento Civil, al vulnerar derechos fundamentales, concretamente el derecho al honor y a la intimidad y el derecho a la protección de datos de carácter personal”. El 9/10/2017 aporta en soporte USB, la grabación audiovisual del acto de la audiencia previa, en la que se inadmitió y se excluyó del proceso el documento 3 bis, señalando el Magistrado expresamente que la letrada (de BANKINTER S.A.) “puede traer por vía testifical al padre de la actora y llevar a cabo todo este interrogatorio para obtener toda esta información de forma lícita o de forma correcta, pero no encuentra el Tribunal adecuado que la documentación contable o la documentación bancaria que afecta a un tercero ajeno al proceso, deba reflejarse en los autos ni aportarse por la parte demandada (BANKINTER S.A.) quien además en su condición de entidad bancaria tiene un deber especial de preservar la intimidad contable y la intimidad económica de cualquiera de sus clientes”. SEGUNDO: Con fecha 30 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANKINTER, S.A.., por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. TERCERO: Notificado el acuerdo de inicio, BANKINTER, S.A.. mediante escrito de fecha 23/02/2018, que tuvo entrada en el Registro de la AEPD el 26/02/2018 formuló alegaciones, en las que solicitó el archivo de las actuaciones o, en su defecto y con carácter subsidiario la aplicación de la escala relativa a la clase de infracciones leves en virtud del art. 45.5 de la LOPD, manifestando en síntesis lo siguiente: - Aplicación del artículo 11.2d) de la LOPD “ no siendo necesario el consentimiento del interesado por ser información que se facilita a un Juez”, por lo que no entienden vulnerado el art. 10. Consideran que se produce concurrencia significativa de varios de los criterios enunciados en el apartado 4 del art. 45. CUARTO: Con fecha 5/03/2018 se inició el período de práctica de pruebas, acordándose:
  2. a)dar por reproducida a efectos probatorios la denuncia interpuesta por el denunciante y la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/05879/2017 y
  3. b)dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00539/2017 presentadas por la representación de la entidad denunciada. Todo ello con su correspondiente documentación. El resultado de estas pruebas podría dar lugar a la realización de otras. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 QUINTO: Con fecha 6 de abril de 2018 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 50.000 € (cincuenta mil euros) por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  4. d)de dicha norma. SEXTO: El 9 de abril de 2018 la entidad recibió la notificación de dicha propuesta de resolución, en la que se otorgaba plazo de 10 días para formular alegaciones. El 17/04/2018 se solicitó prórroga al amparo de lo dispuesto en el artículo 32.1 de la Ley 39/2015 de 1 de octubre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, concedida el 18/04/2018. SÉPTIMO: Mediante escrito de 27/04/2018, que tuvo entrada el 30/04/2018, BANKINTER, S.A.. formuló alegaciones invocando nuevamente: - La aplicación del artículo 11.2d) de la LOPD al considerar no necesario el consentimiento “cuando la comunicación que debe efectuarse tenga por destinatario el Defensor del Pueblo, el Ministerio Fiscal o los Jueces y Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas”. - Concurrencia de varios de los supuestos recogidos en el artículo 45.5 de la LOPD y por tanto aplicación de la escala relativa a la clase de infracciones leves. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS - Los datos bancarios del denunciante fueron facilitados a la parte actora por BANKINTER, S.A.. como documento 3 bis en la contestación a la demanda en el procedimiento ordinario núm.XXX.1/2016 del Juzgado de Primera Instancia nº X.1 de ***LOC.1 (Barcelona), considerando el propio Magistrado que constituía una prueba ilícita de conformidad con el art. 287 de la Ley de Enjuiciamiento Civil, al vulnerar derechos fundamentales, concretamente el derecho al honor y a la intimidad y el derecho a la protección de datos, y por tanto inadmitiéndola y excluyéndola. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), señala que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. III El artículo 11.1 de la LOPD establece que “los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. El apartado 2.
  6. d)de dicho artículo señala que el consentimiento exigido en el apartado anterior no será preciso: “Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas”. Del tenor literal del citado artículo 11.2.d), en el presente caso consta que los datos del denunciante se facilitaron sin consentimiento a su hija (3ª persona), por lo que no procede atender la alegación de Bankinter toda vez que dichos datos no se comunicaron inicialmente a “Jueces o Tribunales”. Además, posteriormente en sede judicial, el propio Magistrado se ha pronunciado sobre la vulneración de derechos fundamentales, concretamente el derecho al honor y a la intimidad y el derecho a la protección de datos, al comunicarse datos del denunciante (los movimientos del préstamo multidivisa que él tiene contratados) sin su previo consentimiento a la hija. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 IV La denuncia presentada contra BANKINTER S.A. se concreta en que se comunicaron datos sin consentimiento del denunciante a su hija en la contestación a la demanda, siendo el propio Magistrado quien consideró que constituía una prueba ilícita de conformidad con el art. 287 de la Ley de Enjuiciamiento Civil, al vulnerar derechos fundamentales, concretamente el derecho al honor y a la intimidad y el derecho a la protección de datos, y por tanto inadmitiéndola y excluyéndola, por lo que en el presente procedimiento sancionador se le atribuye la comisión de una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  7. d)de dicha norma, que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso no se considera que concurran las circunstancias necesarias para que pueda aplicarse lo dispuesto en el artículo 45.5. de la LOPD. Procede graduar la sanción a imponer de acuerdo con las siguientes circunstancias que establece el art. 45.4 de la LOPE y que operan aquí como agravantes: - El apartado
  23. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. - El apartado
  24. d)“El volumen de negocio o actividad del infractor”, toda vez que estamos ante uno de los principales operadores de telecomunicaciones del país. - El apartado
  25. f)“El grado de intencionalidad”, puesto que en su condición de entidad bancaria tiene un deber especial de secreto. Por todo ello, se establece la cuantía de la sanción por vulneración del artículo 10 de la LOPD, en 50.000 euros (tramo inferior en la escalad e sanciones para sanciones graves). Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANKINTER, S.A.. con NIF ***NIF.1, por una infracción del artículo 10 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3.
  26. d)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a BANKINTER, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.