1/15 Procedimiento Nº PS/00590/2013 RESOLUCIÓN: R/00512/2014 En el procedimiento sancionador PS/00590/2013, instruido por la Agencia Española de Protección de Datos a la entidad CAIXABANK, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 30/09/2013, se dictó por el Director de la Agencia Española de Protección de Datos, Resolución R/02216/2013, archivando el procedimiento sancionador seguido contra Banco de Valencia, S.A. (en la actualidad CAIXABANK, S.A. y para lo sucesivo CAIXABANK), por la presunta vulneración del artículo 10 de la LOPD, tipificada como grave en los artículos 44.3.
- d)de dicha norma por caducidad de las actuaciones previas de investigación E/02540/2012, si bien se ordenaba a la Subdirección General de Inspección de Datos de esta Agencia que procediera a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/05441/2013, al no haber prescrito la presunta infracción cometida. En cumplimiento de lo señalado, el inspector actuante estimó conveniente durante tales actuaciones la incorporación al citado expediente de aquellas actuaciones que integraban el expediente caducado y cuyo informe de actuaciones se reproduce en los siguientes puntos. SEGUNDO: Con fecha de 09/01/2012 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo la denunciante), en el que declara que CAIXABANK ha facilitado a su ex marido extractos bancarios que posteriormente han sido aportados por este último en un juicio. La reclamante aporta movimientos en la cuenta ***CCC.1 entre las fechas 08/02/2011 y 18/11/2011, así como entre las fechas 19/12/2005 y 01/06/2006, impresas estas últimas en fecha 09/12/2011. TERCERO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos: Según indican los representantes de CAIXABANK, en fecha 25/09/1998 se apertura cuenta de ahorro en la que como única titular aparece la denunciante. Con fecha 05/05/2003, se firma ante el Notario D. B.B.B., con número **** de su protocolo, una escritura de Préstamo Hipotecario, donde se indica en la Primera Cláusula Financiera, que la denunciante y D. C.C.C. (en lo sucesivo ex marido), intervienen con carácter solidario y como parte prestataria y reciben el importe del citado préstamo, que quedó ingresado en la cuenta n° ***CCC.1 a nombre de "la parte prestataria", cuenta en la que se han realizado los cargos de cuotas del préstamo así como las disposiciones de dicho préstamo.. Del mismo modo, con fecha 06/04/2004, se firma escritura de Ampliación de Préstamo Hipotecario y Disposición del Nuevo Importe mediante Certificaciones de Obra, ante el Notario D. D.D.D., interviniendo como prestatarios solidarios y figurando como cuenta vinculada de nuevo la n°***CCC.1. Según manifiestan los representantes de la entidad: “Las disposiciones del préstamo están firmadas por el ex marido, en dichas disposiciones consta el abono en la cuenta ***CCC.1, por lo tanto en su condición de prestatario el ex marido, era conocedor de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 movimientos de la citada cuenta, y la denunciante por tanto conocedora de la situación de apoderamiento del mismo”. “La entrega de información al ex marido, de dicha cuenta, se realizó en base a que estaba autorizado en la misma por las razones antes indicadas. Causando baja como autorizado en el mismo momento que la denunciante lo comunica a la sucursal. Siendo desde ese momento, la única titular de la misma, sin ningún apoderado”. “Dicha baja fue solicitada a la oficina en el 14/12/2011, firmando la denunciante un documento el cual se adjunta como documentos número 5”. “La información facilitada al ex marido tiene su fundamento que era apoderado de la cuenta, además de que su interés deriva también del hecho de que pretendía acreditar los ingresos que había efectuado en concepto de pensión de alimentos a la que, al parecer venia obligado, dados los procesos judiciales en los que según nos comunica la denunciante están implicados, Dicha información se hubiese proporcionado de la misma forma por mandamiento judicial por contener tanto los ingresos de pensión, como los justificantes de entregas para el pago del préstamo común”. No obstante, en el documento contractual de apertura de la cuenta de ahorros, de fecha 25/09/1998, solamente figura como titular la denunciante. No consta ninguna otra persona en la condición de titular, autorizado o apoderado. Además, en la declaración del ex marido en sede judicial, de fecha 12/12/2011, se señala: “Aporta extracto de movimientos para acreditar las transferencias”, lo que viene a confirmar lo manifestado por la denunciante de que se le han aportado los datos y extractos bancarios de su cuenta. - Según consta en el documento “proyecto común de fusión entre CAIXABANK (como sociedad absorvente) y Banco de Valencia, S.A. (como sociedad absorbida)” de fecha 04/04/2013, publicado en el portal de CAIXABANK, se ha procedido a la fusión por absorción de Banco de Valencia, S.A. por parte de CAIXABANK. CUARTO: Con fecha 5 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CAIXABANK, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, CAIXABANK mediante escrito de fecha 05/12/2013, formuló en síntesis las siguientes alegaciones: Que la declaración de incoar el procedimiento sancionador está viciada de nulidad de pleno derecho. Que se ratificaban en la respuesta dada en el procedimiento anterior. Que si bien en el documento apertura de cuenta de ahorro figura como titular la denunciante, el mismo recoge la baja como autorizado de su ex marido, por lo que si existió la baja es porque previamente se había producido el alta; que resulta relevante a fin de acreditar dicho poder la escritura de constitución de préstamo hipotecario. Que en ningún caso puede cuestionarse la autenticidad, veracidad y validez de una escritura pública. Que CAIXABANK facilitó al ex marido de la denunciante información en calidad de apoderado de la cuenta que además era la receptora y cuenta de pago de un préstamo hipotecario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 SEXTO: Con fecha 10/12/2013, se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/05441/2013. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00590/2013 presentadas por CAIXABANK. Solicitar a CAIXABANK acreditación documental del alta y aceptación como autorizado de D. E.E.E., NIF ***NIF.1, en la cuenta nº ***CCC.1. Solicitar a la denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, si lo estima oportuno, cualquier otra manifestación en relación con los hechos denunciados, asi como copia de la Declaración del Imputado E.E.E. ante el Juzgado de Primera Instancia nº 2 de Moncada (Valencia), y, remitir también, si se hubiera dictado por el citado Juzgado algún tipo otro tipo de resolución. En cuanto a la prueba solicitada por CAIXABANK, solicitar a la denunciante copia de la escritura notarial de hipoteca, no se estima necesario ni procedente para la resolución del presente procedimiento. En fecha 26/12/2013 solo la denunciante respondió a la prueba practicada cuyo contenido obra en el expediente SEPTIMO: En fecha 27/01/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a CAIXABANK por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, con multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de CAIXABANK, mediante e-mail de fecha 18/02/2014 solicito copia de documentos que integraban el expediente y ampliación del plazo a efectos de alegaciones; mediante escritos de 21/02/2014 fueron remitidos los documentos solicitados y ampliado el plazo a otros cinco días. La representación de BBVA presento el 04/03/2014 escrito de alegaciones, reiterando las ya formuladas: que la declaración de incoar el procedimiento sancionador está viciada de nulidad de pleno derecho; que se volvían a ratificar en la respuesta dada en el anterior procedimiento; que se ratificaban en la respuesta dada en el procedimiento anterior; que si bien en el documento apertura de cuenta de ahorro figura como titular la denunciante, el mismo recoge la baja como autorizado de su ex marido, por lo que si existió la baja es porque previamente se había producido el alta, etc., y además, que resulta relevante a fin de acreditar dicho poder la escritura de constitución de préstamo hipotecario y, además, que los hechos constitutivos de la presunta infracción no fueron realizados por CAIXABANK, por lo que no es exigible responsabilidad administrativa. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 PRIMERO. En fecha 09/01/2012, tuvo entrada en esta Agencia escrito de la afectada en el que denuncia a CAIXABANK por dar los datos de su cuenta, así como extractos bancarios a su ex marido, después de reiterarles que no lo hicieran (folio 1). SEGUNDO. Consta copia del DNI de (C/.....................1)(Valencia) (folios 10 y 11). la denunciante, domiciliada en TERCERO. Consta aportado copia del documento contractual de apertura de Cuentas de Ahorro nº ***CCC.1, suscrito por la denunciante con CAIXABANK, en fecha 25/09/1998. Como titular único figura la denunciante (folios 23 y 24). CUARTO. Consta aportada la baja como autorizado del ex marido de la denunciante en el documento contractual de apertura de cuenta, Cuentas de Ahorro nº ***CCC.1, figurando su condición de divorciada, y a continuación de la firma de los intervinientes, con fecha 14/11/2010, se señala “HA FECHA DE HOY CAUSA BAJA COMO AUTORIZADO E.E.E. CON NIF: ***NIF.1. En breve se remitirá doc. en donde se autorizó en su día, fecha de apertura de la cuenta” (folios 122 y 123). QUINTO. En periodo probatorio, en fecha 10/12/2013, se le requirió a CAIXABANK que acreditara documentalmente el alta y aceptación como autorizado del ex marido de la denunciante, en la cuenta nº ***CCC.1; la entidad crediticia no respondió al requerimiento efectuado (folio 152). SEXTO. Consta e-mail de la denunciante, de fecha 14/12/2011, enviado a CAIXABANK en el que se indica “Se han facilitado mis datos y movimientos bancarios a mi ex marido (desde 2006) que se supone que es apoderado de mi cuenta, de la que yo solo soy titular, contrato que tengo en mi poder y en ningún lugar especifica este dato. Es más he pedido reiteradamente en la urbana 14 que dejaran de hacer este tipo de actos y jamás me han informado de este hecho insólito, cuando saben que estamos en procesos judiciales ya que le he requerido mucha documentación. Se de este hecho porque han presentado mis datos y cuentas como pruebas en un juicio. Quiero firmemente denunciar esta situación, que viola el derecho a la protección de datos, a la intimidad y podría tener consecuencias judiciales” (folio 124). SEPTIMO. Consta Declaración del ex marido de la denunciante, de fecha 12/12/2011, ante el Juzgado de Primera Instancia e Instrucción nº 2 de Moncada (Valencia), al que se le imputaba un delito de impago de pensiones. En la citada comparecencia se indica “Aporta extracto de movimientos para acreditar las transferencias” (folio 9). Consta Extracto de Movimientos de la cuenta titularidad de la denunciante, aportada por su ex marido en la declaración en comparecencia ante el Jugado, que le fue facilitada el 09/12/2011, por la sucursal de CAIXABANK donde se halla abierta la cuenta y, donde figuran recogidos las operaciones de la citada cuenta desde el 01/01/2006 al 31/12/2006 (folio 7). Asimismo, se aporta consulta de movimientos de la cuenta titularidad de la denunciante, facilitada por la sucursal de CAIXABANK donde se halla abierta la cuenta y, donde figuran recogidos las operaciones de la citada cuenta desde el 01/02/2011 al 30/11/2011(folio 6). OCTAVO. Consta aportada escritura de préstamo hipotecario formalizada ante el notario de Valencia D. B.B.B., el 05/05/2003, interviniendo CAIXABANK y la denunciante y su ex marido, en condición de prestatarios. En la citada escritura se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 señala en sus Clausulas Financieras “que en relación con las obligaciones dimanantes de esta escritura intervienen con carácter solidario (en adelante la parte prestataria), ha recibido de Banco de Valencia, S.A. en concepto de préstamo la cantidad de…, que ha quedado ingresada en la cuenta nº ***CCC.1, a nombre de la parte prestataria en la oficina urbana Torrefiel
(0182), de Banco de Valencia,S.A. (folio 25 y ss ). Posteriormente, se formaliza ante el notario de Valencia D. D.D.D., escritura de Ampliación de préstamo hipotecario en Valencia, el 06/04/2004, en la que intervienen CAIXABANK y la denunciante y su ex marido, como prestatarios, indicándose que “…que en relación con las obligaciones dimanantes de esta escritura intervienen con carácter solidario como prestatarios, la cantidad de …, cantidad que reciben a su entera satisfacción, mediante su ingreso en la cuenta número ***CCC.1 abierta en la Oficina urbana Torrefiel de Banco de Valencia, S.A.” (folios 67 y ss). NOVENO. CAIXABANK no ha acreditado que hubiese obtenido el consentimiento o autorización de la denunciante, titular única de la cuenta, para la revelación de sus datos personales, ni que exista norma legal que justifique dicha revelación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Con carácter previo al examen de las cuestiones de fondo del asunto, procede analizar las excepciones alegadas por la representación de CAIXABANK, que de prosperar invalidarían las consideraciones de fondo o materiales. Manifiesta la citada representación que la declaración de caducidad conlleva el archivo de las actuaciones y en consecuencia la no conservación de los actos caducados, por lo que la incoación del procedimiento sancionador es un acto viciado de nulidad de pleno derecho. Sin embargo tal alegato no puede ser admitido, puesto que la Administración tiene la posibilidad, una vez declarada la caducidad, de iniciar un nuevo procedimiento sancionador mientras la infracción no haya prescrito, basándose en los documentos que originaron la inicial actuación. Hay que recordar que el acuerdo de inicio del presente procedimiento sancionador estuvo precedido de la Resolución del Director de la AEPD de 30/09/2013, en la que se acordó archivar el procedimiento seguido por caducidad de las actuaciones de investigación previas, ordenando iniciar nuevas actuaciones, que traen causa el presente procedimiento sancionador. La Sentencia del TS de 12/06/2003, señala que “la caducidad declarada en un procedimiento sancionador, no constituye obstáculo alguno para la posibilidad de iniciar o reiniciar otro procedimiento sobre el mismo objeto dentro del plazo de prescripción”. Por tanto, la STS considera plenamente aplicable a los procedimientos sancionadores el artículo 92.3 de la LRJPAC y afirma que la caducidad de un expediente sancionador no produce por sí sola la prescripción de las acciones del particular o de la Administración. Posteriormente, la Sentencia del TS de 24/02/2004 determina C/ Jorge Juan, 6 28001 – Madrid el valor que www.agpd.es sedeagpd.gob.es 6/15 conservan en el nuevo procedimiento sancionador los trámites válidamente celebrados en el seno del procedimiento caducado. Así, señala que las actuaciones probatorias practicadas en el procedimiento caducado deben repetirse en el nuevo con respeto, otra vez, a las garantías originarias con la única excepción de que sea el imputado quien solicite la incorporación de tales actuaciones al nuevo expediente. La citada STS precisa que el acuerdo de inicio del nuevo expediente sancionador puede y debe fundarse en los mismos documentos que, con el valor de denuncia, determinaron la iniciación del expediente caducado. Y que pueden surtir efecto en el nuevo expediente, si se decide su incorporación a él, los actos que son independientes del expediente caducado, no surgidos dentro de él aunque también se hubieran incorporado al mismo. Esta documentación está formada por el E/02540/2012, en cuyo marco se practicaron las actuaciones de investigación que ordenó el Director de la AEPD en la resolución que acordaba el archivo por caducidad del PS/00166/2013. El expediente E/05441/2013 reproduce íntegramente la denuncia formulada por la afectada y las actuaciones de investigación que la Agencia había practicado en su día en el marco del E/02540/2012, que fueron el precedente del PS/00166/2013, folios 1 a 129. A la luz de la Sentencias del TS anteriormente citadas, como ya hemos indicado, es ajustado a Derecho abrir un nuevo expediente sancionador por los mismos hechos que motivaron la apertura de un expediente declarado caducado, en tanto la infracción no haya prescrito. Además es igualmente correcto que el nuevo procedimiento sancionador, en este caso el PS/00590/2013, se apoye en los mismos documentos que determinaron la iniciación del procedimiento caducado. También lo es que surtan efecto en el nuevo procedimiento sancionador, si se decide su incorporación al mismo, aquellos actos que son independientes del procedimiento caducado, esto es, que no surgieron dentro de él aunque también fueron incorporados a éste. En el presente caso se incorporaron al E/05441/2013 (del que deriva el PS/00590/2013 que nos ocupa) tanto la denuncia formulada por la afectada como las actuaciones de investigación practicadas por los servicios de inspección de la AEPD en el curso del expediente de investigación E/02540/2012. De manera que en tanto estos documentos son independientes del PS/00166/2013, respecto del cual el Director de la AEPD acordó el archivo por caducidad, no hay obstáculo para que sean incorporados al nuevo expediente de investigación, como así se hizo. Lo que explica que fueran esos documentos y no otros, los que la AEPD estableció a efectos de aperturar el nuevo procedimiento sancionador. Ya hemos indicado que las precitadas sentencias advierten que las actuaciones probatorias practicadas en el curso de un procedimiento sancionador caducado deberán repetirse de nuevo, pues no pueden surtir efecto en el nuevo procedimiento sancionador. Lo que explica que no se hayan incorporado ninguna de las actuaciones que tuvieron lugar en el procedimiento caducado. Por cuanto antecede esta cuestión previa debe, asimismo, desestimarse. III Alega la representación de CAIXABANK que los hechos constitutivos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 presunta infracción no fueron realizados por su representada, por lo que no es exigible responsabilidad administrativa. Sin embargo, tal alegato ha de ser desestimado puesto que es posible sostener la responsabilidad subsidiaria de quienes incumplieron una obligación impuesta por la ley, en este caso vulneración del deber de secreto previsto en el artículo 10 de la LOPD, para prevenir las infracciones cometidas por las personas jurídicas, transformando el problema en una derivación de responsabilidades y, porque equiparar un proceso de fusión por absorción o disolución de una persona jurídica con la muerte física de una persona, podrá conducirnos a resultados verdaderamente injustos, pues bastaría para eludir la sanción administrativa con acudir a un acuerdo de disolución o de fusión de sociedades para eludir y extinguir la responsabilidad. En este mismo sentido se pronuncia la sentencia del TS de fecha 14/02/2007 (rec. 17/2005), que señala: “En el segundo motivo de casación se denuncia la "infracción de la jurisprudencia aplicable a la transmisión de las sanciones y de la responsabilidad del pago de las mismas con motivo de la disolución de las sociedades, tal y como resulta de las Sentencias del Tribunal Supremo de 18 de abril de 1994 (RJ 1994,3375) y 20 de septiembre de 1996 (RJ 1996, 6787 ) entre otras". Aun cuando ciertamente en la demanda no se invocó esta jurisprudencia, tampoco puede considerarse - frente a la objeción del Abogado del Estado- que se trate de una "cuestión nueva" no planteada en la instancia. Los problemas referidos a la asunción por el "Banco Santander Central Hispano, S.A." (entidad resultante de la absorción, por fusión, de uno en otro) de las responsabilidades sancionadoras imputables a los Bancos de Santander, por un lado, y Central Hispano, por otro, habían sido aducidos por la parte actora en su demanda. El Banco recurrente, en el fundamento jurídico cuarto de dicho escrito, abordaba aquellos problemas tanto desde la perspectiva de la proporcionalidad de la sanción (a la que dedicará en esta fase procesal el tercer motivo de su recurso de casación) como desde la naturaleza personal de la responsabilidad en el terreno sancionador. Se refería, en concreto, a la imposibilidad de que la sanción unitaria de 600.000 euros (esto es, la suma de las correspondientes a ambas entidades por separado) se impusiera cuando una de las entidades sancionadas era ya inexistente. La jurisprudencia invocada por el recurrente, sin embargo, va en contra de la tesis aducida en el segundo motivo, precisamente porque aquélla niega la similitud entre las personas físicas y las jurídicas en lo que respecta a la transmisibilidad de las sanciones. El propio Banco recurrente se ve obligado a admitir que "la razón última de la doctrina que se establece radica en excluir que [...] quede en manos del infractor de la norma que él mismo por su sola voluntad eluda la posibilidad de hacer el Estado efectiva su responsabilidad acudiendo al artilugio de su disolución, sea mediante fusión, absorción o de otra forma". Sostiene sin embargo que, siendo válida esta afirmación para los casos en que ya se ha impuesto la sanción -transmisible, por lo tanto, a la persona jurídica que se subroga en la personalidad de la extinguida- o incluso en aquellos en que fuera "previsible que se imponga", no lo sería cuando la extinción se produjo antes de que se incoara el procedimiento sancionador, como aquí ocurre. La tesis así expuesta no es la que se deduce, ni siquiera sensu contrario, de la jurisprudencia cuya infracción censura este motivo. De las dos sentencias citadas en él, la primera (de 18 de abril de 1994, recurso de apelación número 328/1991 ) estima precisamente el recurso interpuesto por el Abogado del Estado contra el fallo de instancia que, de modo incorrecto, había aplicado el principio de la personalidad de la pena "a las sanciones administrativas imponibles al responsable de la infracción" y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 excluído, indebidamente, de dichas sanciones "a las personas sucesoras de sus obligaciones". Esta Sala del Tribunal Supremo afirmó, por el contrario, que la sociedad absorbente había de satisfacer las sanciones pecuniarias correspondientes a la absorbida y rechazó la tesis de la demanda sobre la improcedencia de la subrogación "en las consecuencias de los incumplimientos legales cometidos por la Mutua absorbida". En la segunda de las referidas sentencias (de 20 de septiembre de 1996, recurso de apelación número 3606/1991) esta Sala argumentó, en términos más extensos, sobre el "distinto régimen de transmisibilidad de las sanciones administrativas en el supuesto de disolución de la persona jurídica sancionada" respecto del aplicable a los supuestos de "muerte o fallecimiento de la persona física sancionada". Para las primeras no cabe duda de que la sanciones "forman parte del pasivo transmitido a los socios, sin que ello pueda entenderse contrario al principio de responsabilidad personal que se asienta sobre una concepción de la culpabilidad no trasladable a las personas jurídicas". En ningún momento se excluye de este régimen de transmisibilidad a las sanciones que, derivadas de actos cometidos antes de que la persona jurídica se extinguiera, hubieran sido impuestas después de la extinción pero precisamente en razón de tales actos, siendo imputables las consecuencias -también las económicas- de todos los actos de la sociedad extinguida a la que se subrogó en sus responsabilidades. No resulta, por último, convincente que tras admitirse en el motivo la asunción por parte del "Banco Santander Central Hispano, S.A." de las sanciones que, aun no impuestas en el momento de la absorción, fueran entonces "previsibles", niegue este carácter a la de autos. No se puede hacer depender la transmisibilidad de aquéllas del conocimiento subjetivo de unos u otros hechos que tuviera la entidad absorbente, ni de la mayor o menor "previsibilidad" de la decisión administrativa ulterior ni de que en el referido momento existiera sólo una denuncia (como en efecto ocurría) o se hubiera incoado formalmente el expediente sancionador. Que la sanción fuera más o menos previsible en el momento de "establecer el equilibrio financiero de la fusión determinante de la contraprestación a pagar a los accionistas de la sociedad absorbida" es algo que podrá tener incidencia en otros ámbitos pero no, desde luego, en las relaciones verticales entre la Administración y las entidades sujetas a su potestad sancionadora. Si, en definitiva, la absorción de una sociedad por otra supone que el patrimonio que se transmite, activo y pasivo, engloba las sanciones ya impuestas o que puedan imponerse, no hay por qué restringirlas a las que derivaran tan sólo de "un expediente ya abierto, como contingencia previsible al hacer la liquidación de la Sociedad". IV Se imputa a CAIXABANK en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. V El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a os ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. VI La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en que condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 este refleje con veracidad la situación actual del afectado” En el presente caso, estamos antes un tratamiento de datos personales, y CAIXABANK es responsable del fichero y de dicho tratamiento, de conformidad con las definiciones legales recogidas en el artículo 3 de la LOPD apuntadas. De lo que se deduce que CAIXABANK está sometido al régimen sancionador de la citada norma de conformidad con el artículo 43. VII La representación de CAIXABANK ha alegado que el ex marido de la denunciante tenía acceso a los datos de la cuenta, en cuento que figuraba como apoderado de la misma, lo que le otorgaba poder operar en la cuenta y obtener información sobre la misma. A la luz del alegato de la citada representación, resulta incuestionable que fue la oficina urbana Torrefiel
(0182), de CAIXABANK, en donde se encontraba abierta la cuenta nº ***CCC.1, la que proporcionó al ex marido de la denunciante los extractos de movimientos de la cuenta titularidad de la misma. Ahora bien, consta acreditado que la denunciante era la titular única de la cuenta nº ***CCC.1, como así figura en el documento contractual de apertura de cuenta Cuentas de Ahorro (folio 23). Es por ello, que la autorización para acceder al conocimiento de los datos de una cuenta bancaria, precisa del consentimiento de su titular, que ha de ser expreso, sin que baste como hace la entidad denunciada, manifestar que el ex marido estaba autorizado, sin acreditarlo. Además, la entidad crediticia no ha aportado ni probado, a pesar de que en periodo probatorio se le ha requerido para que lo hiciera, la acreditación del alta y la aceptación como autorizado de D. E.E.E., en la cuenta nº ***CCC.1, cuya titular única es la denunciante; aunque, hecho insólito, según CAIXABANK puede que “seguramente se documentara en otro documento diferente al contractual” (folio 148). A mayor abundamiento, la propia entidad denunciada, a solicitud de la denunciante, consignó el 14/11/2010, en el propio documento contractual de apertura de la cuenta y a continuación de la firma de los intervinientes, que en dicha fecha causaba baja como autorizado su ex marido y que en breve le remitirían el documento donde se autorizó en su día, sin que lo hiciera, a pesar de la insistencia de la denunciante (folio 123). Alega igualmente la representación de CAIXABANK que el poder existía porque en fecha 05/05/2003, se firmó ante notario escritura de préstamo con garantía hipotecaria, indicándose en su Primera Clausula Financiera, que tanto la denunciante como su ex marido intervenían con carácter solidario y, como parte prestataria, recibían el importe del préstamo, que quedo ingresado en la cuenta nº ***CCC.1, de la parte prestataria. En este alegato la representación de CAIXABANK trata de justificar la entrega de los extractos de movimientos de la cuenta, en la existencia de un préstamo hipotecario suscrito por los entonces esposos, que estaba vinculado a la cuenta nº ***CCC.1. Sin embargo, del contrato de préstamo ni se colige, ni se desprende de sus estipulaciones, que el ex marido de la denunciante tuviera la condición de autorizado o apoderado de la cuenta. Como ya se ha apuntado anteriormente, aunque la entidad denunciada no niega que hubiera entregado al ex marido los extractos con los movimientos de la cuenta, trata de justificar la entrega de los mismos en la existencia de un préstamo con garantía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 hipotecaria suscrito por los entonces esposos, por ser la cuenta nº ***CCC.1 la vinculada al citado préstamo. Si bien es cierto, que el ex marido hubiera podido tener un interés en conocer la información relativa al citado préstamo, al ser parte prestataria, en ningún caso la información a entregar podría comprender extractos bancarios con los movimientos de la expresada cuenta (la información entregada contiene los movimientos contables desde el 01/01/2006 al 31/12/2006 y desde el 01/02/2011 al 30/11/2011 (folios 6 y 7)); extractos que fueron facilitados por la oficina urbana Torrefiel
(0182), de CAIXABANK, en donde se encontraba domiciliada la cuenta de la que era titular única la denunciante, siendo la información aportada prescindible e innecesaria para la finalidad perseguida de que aquel tuviera conocimiento de los cargos de las cuotas del préstamo y de las disposiciones del mismo. Por tanto, hubiera bastado la indicación de la información relativa al préstamo suscrito y prescindir de cualquier otro tipo de información relacionada con la citada cuenta, pues no hay que olvidar que el fin que motivó la actuación del ex marido era justificar los ingresos realizados en concepto de pensión de alimentos, presentando los extractos obtenidos en el Juzgado de Primera Instancia e Instrucción nº 2 de Moncada (Valencia), donde se le imputaba un delito de impago de pensiones. En definitiva, CAIXABANK al haber proporcionado información de los movimientos relativos de la cuenta que nada tenía que ver con el préstamo hipotecario vulneró el deber de secreto a que dicha entidad estaba obligada, incurriendo en la infracción recogida en el artículo 10 de la LOPD. VIII De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Por tanto, la conducta imputada a CAIXABANK por vulneración del artículo 10 de la LOPD encuentra su tipificación en el tipo del citado artículo 44.3.d). IX El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En lo referente a la aplicación del artículo 45.5, la sentencia de 21 de enero de 2004 de la Audiencia Nacional dijo que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión <especialmente cualificada>) y concretos”. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que CAIXABANK vulneró el artículo 10 de la LOPD, al entregar al ex marido de la denunciante extractos de los movimientos de la cuenta de la que era titular única, sin que hubiese obtenido el consentimiento o autorización de la misma para la revelación de la citada información, conculcando el deber de secreto recogido en el citado artículo 10 de la LOPD, por lo que su actuación ha de ser merecedora de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, es posible la aplicación de la circunstancia contemplada en el apartado
- e)del artículo 45.5 de la LOPD, “Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, puesto que en fecha 04/04/2013, se otorgó escritura de fusión por absorción de BANCO DE VALENCIA (sociedad absorbida) y CAIXABANK (sociedad absorbente), con trasmisión en bloque por sucesión universal de todos sus activos pasivos derechos y obligaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 a CAIXABANK, con extinción y disolución sin liquidación de BANCO DE VALENCIA y, dado que la infracción fue anterior a dicho proceso de absorción, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación, es por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, se advierten circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Así, concurren la agravante prevista en el apartado
- d)del artículo 45.4 de la LOPD, el importante volumen de negocio, toda vez que se trata de una gran entidad crediticia por volumen de negocio y la circunstancia prevista en el apartado
- c)del artículo 45.4 de la LOPD, la vinculación de su actividad con la realización de tratamientos de datos de carácter personal, pues es evidente que en el desarrollo de la actividad que desempeña la entidad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 se impone una sanción de 20.000 € de la que CAIXABANK debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CAIXABANK, S.A., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es