PS-00649-2016

1/14 Procedimiento Nº PS/00649/2016 RESOLUCIÓN: R/01254/2017 En el procedimiento sancionador PS/00649/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16 de febrero de 2016 tiene entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) contra Banco Santander, S.A. (en lo sucesivo el denunciado), porque tras ejercitar su derecho de cancelación ante la entidad denunciada, ha recibido publicidad postal de la misma de fecha 23 de enero de 2016. Adjunta a su denuncia:  Escrito de fecha 23/10/2014 en que el denunciante ejercita el derecho de cancelación de sus datos personales frente el denunciado. El documento muestra el sello de la oficina 4315 de la entidad en la localidad de RivasVaciamadrid.  Documento de fecha 23 de enero de 2016 en que la entidad denunciada ofrece al denunciante su NUEVA CUENTA 123, informándole de las condiciones básicas de la misma. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad denunciada, teniendo conocimiento de los siguientes hechos: 1. Manifiesta el denunciado que le consta el ejercicio del derecho de cancelación ejercido por el denunciante, pero que dicho derecho no procedía al mantener el denunciante una tarjeta en vigor. 2. Aporta la entidad denunciada impresión de pantalla según la cual el denunciante mantiene una tarjeta VISA con fecha de alta 19/11/2007 y todavía en vigor. 3. Aporta igualmente relación de liquidación pagos de dicha tarjeta, en que se muestran liquidaciones mensuales comprendidas en el periodo de septiembre de 2015 a junio de 2016. 4. Aporta igualmente impresión de pantalla en que se recogen operaciones realizadas con la tarjeta en el periodo 20/4/2016 al 19/5/2016. 5. Aporta carta dirigida al denunciante en que se le comunica la liquidación de dicha tarjeta en el periodo del 20/5/2016 a 20/6/2016 en que se muestran una docena C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 de operaciones realizadas con la tarjeta. 6. Aporta finalmente copia de la documentación que fue remitida al denunciante en fecha 23 de enero de 2016. En la misma, además de una página coincidente con la aportada por el denunciante, aparecen dos páginas más en que se le informa del cambio de las condiciones y comisiones vigentes para la tarjeta. TERCERO: Con fecha 9 de enero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada, con multa de 20.000 €, de acuerdo con el artículo 45 apartados 2 y 5 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 25/01/2017 formuló alegaciones, significando que: <<…Al folio 3 del expediente aparece el escrito del interesado ejercitando su derecho de cancelación, en el que se hace referencia al hecho de estar procediendo a la cancelación de préstamo personal que tiene concedido por el banco y se indica que, liquidada esa operación y quedando la cuenta abierta con saldo 0, debe proceder a la cancelación de la misma y de todos los datos personales del solicitante. No se alude sin embargo en dicho escrito a otros productos que tiene en vigor el denunciante ni tampoco explicita su deseo de que sus datos no se empleen para el envío de campañas comerciales, lo que se autoriza en alguno de los contratos que siguen en vigor. Tercera.Como resulta del expediente, con la carta que mi representada en fase de Actuaciones previas remite a la Inspección, que obra al folio 9, se acompaña diversa documentación acreditativa de la vigencia de una tarjeta Visa a nombre del interesado, respecto de la que se acompaña también relación de liquidaciones de la misma, así como de movimientos de la tarjeta por compra hechas con la misma, resultando operaciones que llegan a la fecha de la misma carta que se remite ,esto es, junio de 2016, muy posteriores por tanto a su solicitud de cancelación de datos hecha dos años antes. No se ha localizado, no obstante, el contrato en su momento suscito. De la misma manera se acompaña con estas Alegaciones el contrato multicanal suscrito en su día con el interesado y respecto del que el interesado no ha expresado su deseo de que se cancele. En este contrato puede verse que, entre las Condiciones generales del mismo, se recoge una cláusula de protección de datos en que autoriza el uso de sus datos para el envío de comunicaciones comerciales. Cuarta.- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 De lo expuesto resulta que, a pesar de que el interesado en su momento solicitó la cancelación de sus datos en relación con un préstamo y una cuenta corriente, lo cierto es que ello solo podía tener lugar, como así se hizo, respecto de esas relaciones que mencionaba y se cancelaban por pago, manteniéndose sin embargo en vigor las demás relaciones contractuales respecto de las que el interesado no solo no había solicitado su cancelación, sino que el mismo seguía haciendo uso de ellas, lo que impide la cancelación total de sus datos. De la misma forma hay que significar que en ningún momento el interesado ha manifestado expresamente su deseo de que su datos no se utilicen para el envío de publicidad del banco, no constando la revocación expresa de la autorización que aparece concedida en el contrato a que nos hemos referido con anterioridad. Quinta.En atención a todo lo expuesto, el tratamiento de datos que supone el uso de los mismos para el envío de la publicidad de un producto no entendemos que en el caso de estas actuaciones se haya realizado con infracción del art, 6.1 de la LOPD en la medida en que, no solo la cancelación de datos que se solicitó en su momento forzosamente tenía que ser parcial al haberla limitado a solo dos productos y no en relación con todos los que tenía en vigor sino, además, porque en ningún momento ha manifestado su oposición a aquel uso de sus datos, ni ha revocado expresamente la autorización que para aquella clase de envíos publicitarios tiene contractualmente concedida…>> (el subrayado es de la AEPD). Con fecha 30/01/2017 el denunciado presenta nuevo escrito de alegaciones, comunicando: <<…Que con posterioridad a la presentación del dichas Alegaciones ha llegado a su disposición el contrato de tarjeta de crédito, en relación con la que se acompañaba con el escrito conteniendo esas Alegaciones un extracto de sus movimientos, contrato que ahora se viene a aportar por su pertinencia en relación con el objeto de este expediente. Que como puede comprobarse, en sus cláusulas el interesado autoriza a mi representada para el tratamiento de sus datos al objeto de promover la oferta contratación de sus productos y servicios, consentimiento que hasta la fecha no consta haya sido revocado expresamente…>> QUINTO: Con fecha 9 de febrero de 2017 se inició el período de práctica de pruebas, en el que se acordó entre otras: <<…Reenviar copia de los escritos de la entidad financiera que obran en el procedimiento al denunciante y solicitar al mismo ratifique las manifestaciones del Banco Santander de que a la fecha de la solicitud de la cancelación de sus datos, mantenía diversos productos bancarios en vigor, entre ellos una tarjeta, así como las operaciones que se produjeron en 2016 en dicha tarjeta según la entidad bancaria…>> Con fecha 20/02/2017 tiene entrada escrito del denunciante comunicando: <<…- Con fecha 23.10.2014 se solicitó la cancelación de todos mis datos personales que obraran en poder de dicho Banco, así como de los que hubieran podido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 ceder los mismos a terceras personas físicas o jurídicas.(Documento 1) - La citada entidad bancaria alude a la existencia de un contrato multicanal suscrito en su día (Obsérvese que, curiosamente la fecha de su firma aparece tapada e ilegible la marca del SANTANDER CENTRAL HISPANO). Producto de mis gestiones he conocido que esta fecha es la del 27.04.2006 bastante anterior a la de mi petición de cancelación de datos en los archivos del Banco. Entiendo que si solicito la cancelación de datos en 2014 automáticamente debiera quedar sin efecto este documento que es consecuencia de la relación comercial (cuenta corriente, depósito a plazo y préstamo personal) entre el Banco y yo, relación totalmente cancelada el día 23-12-2014 (documento 2). - La sociedad Banco de Santander apoya, principalmente, sus Alegaciones (presentadas ante ese Organismo el 26.01.2017) para el manteniendo en sus archivos de mis datos personales, la existencia de una Tarjeta VISA, vigente hasta fin de Diciembre último. En el punto tercero de las mismas dice textualmente... “LA VIGENCIA DE UNA TARJETA VISA A NOMBRE DEL INTERESADO...........NO SE HA LOCALIZADO, NO OBSTANTE, EL CONTRATO EN EL MOMENTO SUSCRITO (Documento 3). Para mi es evidente que tal Contrato NO EXISTE Y POR LO TANTO NO PUEDE APORTARSE, SIENDO EL MISMO EN EL QUE SE APOYA LA ENTIDAD FINANCIERA PARA DECIR QUE LA RELACIÓN ENTRE LAS PARTES EXISTE PORTERIOR A LA FECHA DE 23.10.2014. Posteriormente a las Alegaciones presentadas por el Entidad Financiera les presenta un nuevo escrito (31-01-2017) en el que textualmente dice: “QUE CON POSTERIORIDAD A LA PRESENTACION DE DICHAS ALEGACIONES HA LLEGADO A SU DISPOSICION EL CONTRATO DE TARJETA DE CREDITO” (Documento 4). - Por el Contrato que les hace seguir el Banco Santander (Documento 5) se puede conocer claramente que el mismo no está suscrito entre la Entidad Financiera y yo, sino la MUTUA MADRILEÑA CONMIGO y que define como NUEVA VISA ORO MUTUA MADRILEÑA. El documento completo, entiendo, contempla una relación contractual entre Mutua Madrileña y mi persona y obsérvese que hasta la domiciliación de los posibles pagos a relazar con motivo de la utilización de la tarjeta es en una cuenta del BBVA (.Es práctica corriente bancaria y sobre todo en el Banco Santander que los reembolsos por utilización de tarjetas Visa expedidas por un Banco se realicen en otra entidad bancaria distinta?) donde hago efectivos otros pagos a dicha Mutua de la que naturalmente soy Mutualista. Siempre he considerado que la intervención del Banco Santander con esta tarjeta era de simple intermediario entre partes. - El escrito presentado ante ustedes por el Banco de Santander con fecha 30-0616 alude en (párrafo cuarto) que ....CARTA QUE SE ENVIA AL CLIENTE Y CUYA FINALIDAD ES INFORMARE DEL CAMBIO DE LAS CONDICIONES Y COMISIONES DE LA TARJETA QUE MANTIENE EN VIGOR, NUNCA HAN SIDO POR MI RECEPCIONADOS (Documento 7). En esta línea lo que la Entidad Bancaria (PÁRRAFO 1) dice: “IMPRESIONES DE PANTALLA EN LA QUE CONSTAN LOS PRODUCTOS Y SERVICIO CONTRATADOS POR D. A.A.A., ASI COMO LA FECHA DE ALTA Y BAJA DE LOS MISMOS”. Nunca me han sido notificadas (Documento 6) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 SEXTO: Terminada la fase de práctica de pruebas, mediante escrito de 22/02/2017 se inició el trámite de Audiencia. SÉPTIMO: Con fecha 7/04/2017 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 20.000 € (veinte mil euros) al denunciado, por la comisión de una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
2. b)de dicha norma. OCTAVO: Con fecha de entrada en la Agencia 24/04/2017 el denunciado realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…La Propuesta de resolución que se formula, a partir de la exigencia del art. 6.1 de la LDPD de que el tratamiento de datos requiere el consentimiento inequívoco el afectado, analiza la eventual revocación de la autorización que, entiende, tenía mi representada para el envío de publicidad comercial, como consecuencia del ejercicio del derecho de cancelación por el interesado aunque referido a un producto determinado y no a otros en vigor. Entiende, por otra parte, que el hecho de que el art. 6. 2 dela LOPD autorice en el marco de una relación contractual para tratar los datos del denunciante para el mantenimiento y cumplimiento de la relación negocial, no habilita para tratar datos con fines publicitarios (…) Obviamente el ejercicio del derecho de cancelación, cuando es procedente conlleva como consecuencia la interdicción del uso posterior de los datos a los que se refiere incluido el uso con fines publicitarios. Sin embargo no siempre el ejercicio del derecho de cancelación es procedente. Así ocurre cuando existen contratos en vigor que determinan reciprocas obligaciones o cuando el ejercicio del derecho se refiere a un producto solo, como aquí ocurre, y no a otros en los que no cabe la cancelación porque no se pide o por estar en estado de cumplimiento (…) 3. Finalmente, porque así como cuando el derecho de cancelación ejercitado correctamente en relación con los datos personales, la posibilidad de uso de los datos para fines publicitarios deriva del hecho mismo de ser cancelado los datos y es inherente al propio derecho, cuando no cabe la cancelación de los datos, como ocurre en este supuesto, no se produce ese efecto inherente a su cancelación y si el interesado quiere que no se sigan usando con fines comerciales lo que tiene que hacer es revocar el consentimiento dado en su día en el contrato o por otra vía con aquel objeto, que para eso en la normativa está regulada específicamente la revocación del consentimiento… >> HECHOS PROBADOS PRIMERO: Con fecha 16 de febrero de 2016 tiene entrada en esta Agencia escrito del denunciante contra el denunciado porque tras ejercitar su derecho de cancelación ante la entidad denunciada, ha recibido publicidad postal de la misma de fecha 23 de enero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 de 2016. Adjunta a su denuncia:  Escrito de fecha 23/10/2014 en que el denunciante ejercita el derecho de cancelación de sus datos personales frente el denunciado. El documento muestra el sello de la oficina 4315 de la entidad en la localidad de RivasVaciamadrid. En el mismo se comunica: “…En este momento estoy procediendo a la cancelación del préstamo personal que mantengo con ustedes. Liquidada esta operación y quedando la cuenta abierta en esa oficina con saldo 0 procederán a la inmediata cancelación de la misma y anularán de sus archivos todos los datos personales míos (salvo los legalmente retenibles), así como los que hayan podido ceder a terceros. De estos me indicarán por escrito cuales son además de su dirección postal y electrónica…”  Documento de fecha 23 de enero de 2016 en que la entidad denunciada ofrece al denunciante su NUEVA CUENTA 123, informándole de las condiciones básicas de la misma (folios 1 a 4). SEGUNDO: La entidad denunciada ha remitido copia de la solicitud de la Tarjeta de Crédito Nueva Visa Oro Mutua Madrileña, suscrita por el denunciante en cuyas condiciones generales se estipula: <<…1. Solidaridad. El Contratante, el Titular de la Tarjeta principal y los de las adicionales, en su caso, responderán solidariamente frente a Banco Santander Central Hispano, S.A. (en adelante “el Banco”) del cumplimiento de todas las obligaciones derivadas del presente Contrato. 13. Protección de datos de carácter personal. El contratante, en el caso de ser persona física y, en su caso, el Titular de la/s Tarjeta/s, queda/n informado/s de que sus datos personales (…) autorizando a éste al tratamiento de los mismos (…) así como para la oferta y contratación con el cliente de los productos y servicios de Banco Santander Central Hispano, S.A. perdurando su autorización, en relación con este último supuesto, incluso una vez concluida la relación con el Banco, en tanto no sea revocada…>> (folios 45 a 48). TERCERO: El denunciado aporta: - relación de liquidación pagos de la Tarjeta de Crédito Nueva Visa Oro Mutua Madrileña, en que se muestran liquidaciones mensuales comprendidas en el periodo de septiembre de 2015 a junio de 2016. - impresión de pantalla en que se recogen operaciones realizadas con la tarjeta en el periodo 20/4/2016 al 19/5/2016. - copia de la documentación que fue remitida al denunciante en fecha 23 de enero de 2016. En la misma, además de una página coincidente con la aportada por el denunciante, aparecen dos páginas más en que se le informa del cambio de las condiciones y comisiones vigentes para la tarjeta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 acuerdo con el Real Decreto Ley 11/2015, de 2 de octubre (9 a 19). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. III El propio artículo 3 en su apartado
4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento. Art 43 LOPD, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso estamos ante el tratamiento de datos personales del denunciante por parte del denunciado en sus ficheros y por su cuenta, lo que les sitúa en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 LOPD. El Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre (RLOPD) en el Titulo III, Derechos de acceso, rectificación, cancelación y oposición en el art. 25 Procedimiento establece: <<…1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
6. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
7. b)Petición en que se concreta la solicitud.
8. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
9. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber. 6. El responsable del fichero deberá adoptar las medidas oportunas para garantizar que las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos. 7. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición podrá modularse por razones de seguridad pública en los casos y con el alcance previsto en las Leyes…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 En el presente caso, el denunciado no contestó a la solicitud de cancelación del denunciante. IV Respecto del tratamiento de datos personales del denunciante hay que señalar lo siguiente: En fecha 23 de enero de 2016 la entidad denunciada ofrece al denunciante su NUEVA CUENTA 123, informándole también de las condiciones básicas de la misma. Si bien tenía en vigor productos con la entidad denunciada, no puede obviarse que el tratamiento de datos realizado tenía fines publicitarios y que mediante comunicación de fecha 23 de octubre de 2014 el denunciante había ejercido el derecho de cancelación que, sin perjuicio de que tenía productos en vigor, el denunciado debió tener en cuenta dicha solicitud y considerar que dicha solicitud suponía la revocación de la autorización para recibir publicidad de la entidad financiera. El denunciado debió cesar en el tratamiento de datos personales del denunciante para fines ajenos a la relación contractual vigente en ese momento. El responsable del fichero debe articular los medios necesarios para saber si cuenta o no con el consentimiento del titular de los datos y más aún cuando recibió un escrito en el que el denunciante ejercitaba el derecho de cancelación. El hecho de que el propio art. 6.2 de la LOPD, habilite al responsable del fichero a tratar los datos del denunciante para el mantenimiento y cumplimiento de la relación negocial, no supone una habilitación para tratar datos con fines publicitarios y no puede prevalecer sobre el deseo del cliente. Conviene traer a colación por la similitud con el caso planteado, un supuesto tratamiento de datos personales por parte de la propia entidad denuncia, que ha sido analizado por la Audiencia Nacional, Sala de lo Contencioso, Sección 1, en Sentencia de 1/04/2014, recaída en el Recurso nº 176/2013, donde señala en su Fundamento de Derecho Segundo: “Sentado lo anterior, estima la Sala que resulta acreditado el tratamiento por parte de Banco de Santander, S.A. de datos de carácter personal del denunciante sin su consentimiento, incurriendo, por ello, en la infracción tipificada en el artículo 44.3.
10. b)LOPD, ante la remisión al mismo de publicidad por carta, ofertándole productos bancarios, después de que éste había solicitado la cancelación de sus datos personales a dicha entidad y la resolución de cualquier relación contractual que le vinculara con la misma, y, por ende, sin contar con su consentimiento para llevar a cabo dicho tratamiento de sus datos personales. En el supuesto que nos atañe resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, quien como responsable del fichero y tratamiento datos personales, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en sus ficheros, tenía la obligación atender la solicitud de cancelación de datos personales expresamente realizada por el denunciante y obrar en consecuencia, asegurándose de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 que no se llevarían a cabo tratamientos de sus datos sin habilitación para ello, entre los que ha de entenderse incluidos, sin duda, el tratamiento de dichos datos con fines publicitarios, a fin de no incurrir en el tratamiento inconsentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales o su cesión a terceros, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos. Al respecto, resulta significativa la rotundidad y claridad con que expresó el denunciante su voluntad ante la entidad Banco de Santander, S.A, dirigida a la resolución de cualquier relación contractual que le vinculara con dicha entidad y a la cancelación de sus datos personales obrantes en sus ficheros, con cita de la normativa legal y reglamentaria aplicable al ejercicio del derecho de cancelación (…) Pues bien, dados los términos en que expresó su voluntad el denunciante ante Banco de Santander, S.A., responsable del tratamiento de sus datos de carácter personal, este debió entender revocado el consentimiento de aquel para proceder al tratamiento de sus datos personales en cualquiera de las relaciones contractuales que les vinculaban. Ante ello y sin perjuicio de la obligación de conservación de datos que establece el artículo 16.5 de la LOPD, y la habilitación que para el tratamiento de datos relativos a las partes de un contrato de una relación negocial, necesarios para su mantenimiento o cumplimiento, establece el artículo 6.2 de la LOPD, que ampararía el tratamiento de datos personales del denunciante por la entidad demandante con la estricta finalidad expresada, resulta evidente que la remisión de publicidad sobre productos bancarios al denunciante constituía un tratamiento de datos inconsentido y carente de habilitación legal alguna por parte del responsable del tratamiento. El hecho de que el denunciante no hubiera manifestado expresamente ante la entidad sancionada que sus datos personales no fueran utilizados para envíos publicitarios, no justifica en modo alguno que dicha entidad pudiera considerarse autorizada para hacerlo, pues la petición de cancelación de todos sus datos personales resulta, sin duda, comprensiva de su negativa a consentir cualquier tratamiento de los mismos, entre los que se encuentran los realizados con fines publicitarios, sin perjuicio de que la entidad bancaria estimara, adecuada o inadecuadamente, subsistentes parte de los contratos suscritos por el denunciante que vinculaban a ambas partes (…) Por otro lado, cualquier consentimiento que el propio denunciante hubiera podido haber prestado para el tratamiento de sus datos con estos fines publicitarios, mediante la suscripción de los contratos que, contra su voluntad, manifestada expresamente, la entidad bancaria considerara vigentes, había de tenerse por revocado, pues no puede interpretarse de otra manera la voluntad manifestada por aquel ante la entidad bancaria en relación con la cancelación de sus datos y la resolución de los contratos.” Asimismo, en cuanto a las alegaciones formuladas por el denunciado respecto de que tenía otros productos en vigor, hay que poner de manifiesto que esta circunstancia no le habilita para tratar los datos del denunciante con fines publicitarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Es decir, si el propio Real Decreto 1720/2007, de 21 de diciembre, en cuanto a los ejercicios de ARCO, obliga no solo al responsable del fichero a satisfacerlos, sino que también obliga a informar a los cesionarios en caso de haberlos, de la cancelación a mayor abundamiento cuando se ejercen tales derechos en el seno de la misma organización sin que existan terceros. El ejercicio de los derechos ARCO se realiza frente a la entidad que trata datos personales, debiendo ésta articular los medios para darle efectividad, con independencia del nº de productos que tenga en vigor el denunciante. En conclusión, el denunciado no ha aportado prueba alguna que legitime el tratamiento de datos personales del denunciante con fines publicitarios lo que hace decaer su legitimación incurriendo en un tratamiento de datos personales sin consentimiento. V Dispone el artículo 44.3.
11. b)de la LOPD de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VI El artículo 45 de la LOPD en sus apartados 1 a 5, establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
12. a)El carácter continuado de la infracción.
13. b)El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En el presente caso se considera, de conformidad con el art. 45.5.
27. a)LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por el escaso volumen de tratamientos realizados al tratarse de una única comunicación y la ausencia de perjuicios ocasionados y a que la publicidad se remite junto con información bancaria que tenía que recibir el denunciante. Asimismo, se considera que procede graduar la sanción a imponer, teniendo en cuenta la vinculación de la actividad del denunciado con la realización de tratamientos de datos y su volumen de negocio ya que se trata de una de las principales empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 española en sector, por todo ello procede imponer una sanción de 5000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO SANTANDER, S.A., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
28. b)de la LOPD, una multa de 5000 € (cinco mil euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a BANCO SANTANDER, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es