PS-00646-2013

1/7 Procedimiento Nº PS/00646/2013 RESOLUCIÓN: R/00490/2014 En el procedimiento sancionador PS/00646/2013, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, S.A., vista la denuncia presentada por A.A.A., B.B.B., C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de diciembre de 2012 tiene entrada en esta Agencia escritos de A.A.A., B.B.B., C.C.C. en los que declaran que el BANCO DE SANTANDER SA ha facilitado a D.D.D. (marido de C.C.C., en proceso de divorcio, y padre de los otros dos denunciantes) datos de los tres, así como datos de las mercantiles ORGAZ CAFÉ, SL y LICEO MOTOR SL. Manifiestan que los documentos obtenidos ilícitamente se han presentado ante el Juzgado en contestación a una demanda de divorcio. Informan que los datos se refieren a cuentas de las cuales D. D.D.D. no es titular ni autorizado. Aportan copia del escrito de contestación a la demanda donde se relacionan los datos bancarios, los documentos que se adjuntaban al escrito, y certificados de titularidad de las cuentas expedidos por el Banco. Con fecha 21/06/2013 se acuerda la no incoación de actuaciones inspectoras ni procedimiento sancionador fundamentada principalmente por la falta de pruebas y la presunción de inocencia. Con fecha 22/08/2013 se estima Recurso de Reposición, instando actuaciones de investigación tendentes al esclarecimiento de los hechos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO SANTANDER, S.A., teniendo conocimiento de que: Se ha emitido un requerimiento de información al BANCO DE SANTANDER SA información con relación a los hechos denunciados, solicitando la causa por la cual fueron entregados a D. D.D.D. los documentos así como copia de la solicitud que fuera efectuada para obtener la documentación. Ante ello los representantes del BANCO DE SANTANDER SA manifiestan que “interesada la Oficina de la calle (C/.................1) nº 78 de Madrid información acerca de quién facilitó la documentación … la misma nos informa que desde la oficina no se ha facilitado dicha información”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Sobre los intervinientes (titulares, autorizados, etc) de todas las cuentas que se relacionan en los documentos obtenidos la entidad ha manifestado que D. D.D.D. no consta que aparezca en ninguna cuenta como titular o autorizado. a 30 octubre de 2012. Solicitada acreditación documental del consentimiento otorgado por los denunciantes para la entrega de la documentación a D. D.D.D., indican que no les consta ningún documento. Por último, solicitada impresión del Registro de Accesos donde conste usuario, fecha, hora y oficina desde la que fueron impresos dichos documentos, los representantes del BANCO DE SANTANDER SA manifiestan que al tratarse de un fichero con medidas de seguridad de nivel medio y no alto, “no se lleva el registro de accesos previsto en el art 103 del RLOPD”. Indican que sí existe un Sistema de Control de Accesos pero que no conlleva un registro de las consultas efectuadas. TERCERO: Con fecha 5 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad BANCO DE SANTANDER SA, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANCO DE SANTANDER SA, mediante escrito que tuvo entrada en el Registro de la AEPD el 20 de diciembre de 2013, formuló alegaciones en las que solicitó el archivo del expediente. En apoyo de su pretensión invoca los siguientes argumentos: De las investigaciones llevadas a cabo por BS no resulta participación de empleado alguno. La presunción de inocencia impide imputar una infracción cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan la imputación, concluyendo que “no existiendo evidencia ni indicios de la autoría de la infracción. Lo que sí parece cierto es la inutilidad de una información así obtenida desde el momento en que como evidencia el Otrosí del escrito de contestación a la Demanda del Sr. A.A.A., la misma información iba a obtener solicitando en fase probatoria dentro del proceso del Juez el oportuno requerimiento al Banco Santander para que aportase toda la información en su poder, relativa a las cuentas y saldos de los interesados. QUINTO: Con fecha 13 de enero de 2014 se abrió el periodo de prueba, en el que se acordó practicar las siguientes diligencias probatorias: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C., A.A.A., B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANCO SANTANDER, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00467/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 acuerdo de inicio PS/00646/2013 presentadas por BANCO SANTANDER, S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 11 de febrero de 2014 el Instructor del Procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se ARCHIVE el presente procedimiento a BANCO DE SANTANDER., por inexistencia de infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3
2. d)de dicha norma. SEPTIMO: Con fecha 17 de febrero de 2014 BANCO DE SANTANDER, formula alegaciones a la propuesta de resolución estimando que es ajustada a Derecho y manifiesta su conformidad con la misma. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: D. A.A.A., D. B.B.B. y Dña. C.C.C. manifiestan que el BANCO DE SANTANDER SA ha facilitado a D. D.D.D. (marido de C.C.C., en proceso de divorcio, y padre de los otros dos denunciantes) datos de cuentas bancarias de los tres donde constan como titulares, apoderados o autorizados y D. D.D.D. ha incluido estos datos de las cuentas bancarias de los denunciantes en el escrito de contestación a la demanda de divorcio. (folios 1 a 12 y folios 41 a 52) SEGUNDO: En respuesta a la solicitud de información de ésta Agencia Banco de Santander manifiesta que a 30 de octubre de 2012 D. D.D.D. no aparece en ninguna de las cuentas controvertidas ni como titular, ni como autorizado. (folios 97 a 100) TERCERO: Existe una copia de contestación a la demanda de divorcio de D. D.D.D. sellada por el Colegio de procuradores de Madrid con fecha de recepción 4 de diciembre de 2012 donde se incluyen unos extractos de cuentas bancarias cuya titularidad pertenecen a los denunciantes Dña. C.C.C. y D. B.B.B. de fecha 30 de octubre de 2012. (folios 3 a 12) CUARTO: Existen sendas cartas fechadas el 11 de abril de 2013 del Servicio de Atención al cliente de la entidad denunciada, dirigidas a los denunciantes, en las que Banco de Santander responde que de las investigaciones efectuadas sobre si se ha facilitado información bancaria a D. D.D.D., que hasta el momento, no resulta la participación de algún empleado de nuestra entidad en los hechos que se mencionan. (folios 35 y 36) QUINTO: Queda acreditado que en la contestación a la demanda en el proceso de divorcio presentada por D. D.D.D., en la que se incluyen los datos de cuentas bancarias de los denunciantes, D. D.D.D. solicita en el segundo OTROSI que el Juzgado Oficie a la entidad Banco de Santander sita en (C/.................1) 78 de Madrid a fin de que certifique titularidad y movimiento de las cuentas. (folio 8) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 SEXTO: Entre dichas cuentas aparecen dos (las terminadas en ****1 y ****2) que son sociedades limitadas ORGAZ CAFÉ S.L y LICEO MOTOR S.L (folios 4, 9 y14) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La LOPD en sus artículos 1 y 2.1 establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
4. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
5. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. III El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. IV En el caso que nos ocupa, los denunciantes manifiestan que Banco Santander ha facilitado a D. D.D.D. datos de cuentas bancarias de los denunciantes (esposa y dos hijos) sin constar D. D.D.D. como titular, autorizado o representante de estos y ha incluido estos datos de las cuentas bancarias de los denunciantes en el escrito de contestación a la demanda de divorcio. En el expediente que nos ocupa debemos de señalar lo siguiente: En primer lugar se deduce por la documentación presentada en el recurso de reposición a la resolución de archivo anterior por los denunciantes, que la información aportada por el tercero ha tenido que ser emitida en origen por el Banco de Santander. Además el banco no ha negado la emisión de esos documentos. Si comparamos además los extractos de cuentas bancarias aportados en la contestación a la demanda de divorcio y los solicitados por los denunciantes para aportar al recurso de reposición son similares en formato. En segundo lugar este tipo de extractos que contienen los contratos de los denunciantes, la titularidad y el saldo no presentan sello del banco, dirección de envío, anagramas, por lo que se podría deducir que han sido directamente entregados por la entidad bancaria. El problema que surge en el caso que nos ocupa es determinar cómo han llegado dicho extractos a manos del tercero que los utiliza en la contestación a la demanda de divorcio como justificación económica. De los datos que obran en el expediente y de las actuaciones realizadas por los servicios de Inspección no es posible determinar que fuera el Banco de Santander quien entregara estos listados al tercero. Por ese motivo culpar al Banco de Santander de entregar los datos bancarios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 los denunciantes al tercero no autorizado entraría dentro del campo de la especulación, ya que no hay una prueba de cargo clara que implique al banco en dicha entrega a dicho tercero. Además, cabe la posibilidad que el tercero los hubiera conseguido de otras maneras sin que la entidad denunciada se los hubiera entregado directamente a él. En este punto procede traer a colación la Sentencia de la Audiencia Nacional de fecha 25/05/2001 que señala que “de la valoración de la prueba obrante en el expediente administrativo se llega a la conclusión que no ha quedado debidamente acreditado este hecho integrador del tipo, es decir no se prueba que el Banco entregara al Sr... el respectivo extracto, suscitándole este hecho concreto serias dudas, frente a la exigible certidumbre”. Y concluye afirmando que sin negar que pudieron producirse los hechos como indica la denunciante, tampoco puede rechazarse la posibilidad que el extracto no le fuera entregado al marido por el Banco, sino que aquel lo obtuviera aprovechando alguna visita al domicilio o mediante la actuación de algún familiar, dicho ello en términos de pura hipótesis”. Por tanto, de las actuaciones de investigación practicadas por la Agencia no se ha podido constatar que la entidad denunciada facilitara al tercero información relativa a las cuentas de los denunciantes. Por tanto, ante la duda razonable, de si el Banco Santander ha revelado datos de los denunciantes, se debe de aplicar el principio de presunción de inocencia. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 V Dispone el artículo 44.3.
6. d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, teniendo en cuenta lo dispuesto en los Fundamentos de Derecho anteriores no es posible subsumir la conducta de BANCO DE SANTANDER S.A en ninguno de los supuestos que el Título VII de la LOPD considera infracción, debiendo por tanto dictarse el archivo de actuaciones. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador a la entidad BANCO DE SANTANDER por inexistencia de infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3
7. d)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a BANCO SANTANDER, S.A. y a A.A.A., B.B.B., C.C.C.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es