PS-00658-2015

1/12 Procedimiento Nº PS/00658/2015 RESOLUCIÓN: R/00513/2016 En el procedimiento sancionador PS/00658/2015, instruido por la Agencia Española de Protección de Datos a la entidad BANKIA, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28/05/2015 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara que al realizar gestiones en una sucursal de BANKIA, S.A. (en adelante BANKIA) ha tenido conocimiento de la existencia de una cuenta a su nombre que le era desconocida terminada en *********7. Indica que además, al acceder por Internet a la web de la entidad, una vez autenticada, puede ver la cuenta que le han indicado en la sucursal y sus datos de saldo y movimiento, además de los datos de la titular de la cuenta, su DNI, su fecha de nacimiento y su dirección. Dicha persona le es desconocida, no guardando ningún tipo de parentesco con ella. Supone que dicha persona puede del mismo modo ver recíprocamente sus datos. Aporta copia de reclamación interpuesta ante BANKIA por dicho motivo. La reclamación se encuentra sellada por BANKIA con acuse de recibo del día 27/02/2014. En la reclamación se incluye copia del extracto de la cuenta *********7 impreso por la entidad bancaria e impresiones de pantalla obtenidas por ella mediante acceso a la web de BANKIA donde se aprecian los movimientos y saldo de la cuenta *********7 así como los datos de titularidad, verificando que la denunciante figura como autorizada, y como titular la tercera persona indicada por la denunciante. Aporta también copia de la respuesta emitida por BANKIA a su reclamación, en la que se le indica que los hechos derivan de un error motivado por coincidir su nombre y apellidos con los de otra cliente que es la realmente autorizada de la cuenta. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANKIA, Solicitada información y documentación a la entidad bancaria los representantes de la misma han manifestado lo siguiente: “1.- Que el 24 de febrero de 2014 se presentó, por la denunciante y ante esta entidad, escrito en el que indicó que figuraba como autorizada en una cuenta en la que no debía figurar y que esta cuenta bancaria pertenecía a BANKIA. 2.- Que, una vez recibió BANKIA la citada denuncia y realizadas las comprobaciones oportunas, constató mediante el acceso a los registros que figuran en la base de datos de esta entidad que se había producido una incidencia y que ésta radicaba en que en lugar de seleccionar al cliente que debiera haber sido el autorizado desde un primer momento, se seleccionó al segundo (la denunciante). Y es que, ambos clientes tenían idéntico nombre y apellidos por lo que se incluyó como autorizada de la citada cuenta al cliente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 equivocado. Adjuntan impresión de pantalla en la que se observa que existen varios clientes en BANKIA con idéntico nombre al de la denunciante indicando que en la primera línea figura la persona que debió figurar como autorizada desde un primer momento y en segundo lugar la denunciante. Indican que en fecha 27/02/2014, tras haber tenido conocimiento de la situación, BANKIA contactó con la titular de la cuenta, dio de baja a la denunciante como Autorizada y se dio de alta a la cliente que debiera haber figurado como autorizada desde un primer momento. Aportan impresión de pantalla del sistema de información de BANKIA en la que figura la cancelación de la autorización de la denunciante de la cuenta *********7 con fecha 27/02/2014. Aportan copia de la contestación a la denunciante de fecha 06/08/2014. TERCERO: Con fecha 23/11/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANKIA, por presuntas infracciones de los artículos 10 y 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) de cada una de ellas, tipificadas como grave en los artículos 44.3.

1. d)y 44.3.c)) de dicha norma, pudiendo ser sancionada con multas de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 CUARTO: Notificado el acuerdo de inicio, la representación de BANKIA presentó escrito de alegaciones, formulando, en síntesis, las siguientes: que la entidad reconoce voluntariamente la responsabilidad de las infracciones que se le imputan uy la aplicación subsidiaria del artículo 45.5 en sus apartados a),
2. b)y
3. d)aplicando la escala relativa a las infracciones leves y además graduando la sanción en su importe mínimo. QUINTO: Con fecha 30/12/2015 se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/05950/2015. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00658/2015 presentadas por BANKIA y la documentación que a ellas acompaña. SEXTO: Al haber reconocido la entidad interesada la responsabilidad en los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO. Con fecha de 28/05/2015 tiene entrada en esta Agencia un escrito de la afectada en el que manifiesta que al realizar gestiones en una sucursal de BANKIA donde tiene abierta cuenta corriente, ha tenido conocimiento de la existencia de la cuenta nº ***CCC.1 a su nombre que le era desconocida; al acceder a la citada cuenta a través de la web de la entidad una vez autenticada, observa que la misma pertenece a otra persona que desconoce pudiendo acceder a sus datos personales saldos, movimientos, etc., suponiendo que de manera recíproca aquella puede acceder a sus datos, saldos, movimientos, etc. (folios 1 a 3). SEGUNDO. La denunciante aporta copia de su DNI nº ***DNI.1 (folio 4). TERCERO. Consta aportado copia de la reclamación interpuesta por la denunciarte ante BANKIA, de 27/02/2014, motivada por los hechos denunciados y expuestos en el hecho probado primero anterior, advirtiéndole del error cometido y que le estaban causando perjuicios innecesarios (folio 5 y 6). CUARTO. La denunciante ha aportado copia del extracto de la cuenta ***CCC.1 impreso por la entidad bancaria (folio 7) e impresiones de pantalla de los accesos realizados y obtenidos de la web de BANKIA donde se aprecian el saldo, los movimientos (con expresión de fechas, descripción, importes, etc.) de la cuenta anteriormente citada, así como los datos del titular de la misma (B.B.B. con DNI ***DNI.2) y en la que figura la denunciante en calidad de autorizada (folios 8 a 14). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 QUINTO. BANKIA aporta copia de la carta de fecha 06/08/2014 (folio ), cuyo contenido reiteraba en la respuesta dada el 28/07/2015 (folio 17), ante las reclamaciones remitidas por la denunciante al Servicio de Atención al Cliente, y en la que se le indicaba “Analizada nuevamente la situación que nos plantea, le comunicamos que debemos ratificar el contenido de la carta enviada en fecha 06/08/2014, donde el exponíamos que el error que nos transmite se produjo al coincidir su nombre y apellidos con el de la persona realmente autorizada en la cuenta. Le comunicamos que dicho error ya ha sido subsanado y aprovechamos que para pedirle nuestras más sinceras disculpas por las molestias que le hayamos podido ocasionar” (folio 64). SEXTO. BANKIA ha aportado documentos Anexo Baja de Autorizados o Apoderados de fecha 27/02/2014 por el que se procedía a solicitar la baja de la denunciante en la cuenta en la que figuraba como autorizada (folio 67). SEPTIMO. BANKIA en escrito de 16/12/2015 ha reconocido voluntaria espontáneamente su responsabilidad en los hechos producidos (folios 81 y ss). y FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: "Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda." En aplicación del anterior precepto y teniendo en cuenta que BANKIA ha reconocido la responsabilidad en los hechos acaecidos, procede resolver el procedimiento iniciado. III Se imputa a BANKIA en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: "El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: "El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)". En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: "El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable -en este caso, la entidad bancaria recurrente- de los datos almacenados -en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el "deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo" (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un "instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos" (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino" (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, "es decir, el poder de resguardar su vida privada de una publicidad no querida." Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el "deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo". Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 IV El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: "1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley". El citado artículo 9 de la LOPD establece el "principio de seguridad de los datos" imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el "acceso no autorizado" por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de "seguridad" a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que "las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto." Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. V En el presente caso, ha quedado acreditado que BANKIA vulneró el deber de confidencialidad en relación con los datos personales y bancarios de la titular de la cuenta, los cuales podían ser visualizados por la denunciante accediendo a la página web de la oficina de internet, área de clientes de la entidad financiera, de manera tal que podía acceder tanto a sus datos de carácter personal de su titular, como a los datos de la cuenta bancaria: saldo, extractos, movimientos (con expresión de fechas, descripción, importes, etc.), etc., en la que la denunciante figuraba como autorizada. Esta información de carácter personal no podía ser facilitada a terceros, salvo con el consentimiento del afectado o, bien, existiendo una habilitación legal que permitiera su comunicación, que en el presente caso no concurría. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Por tanto, queda acreditado que por parte de BANKIA, se ha vulnerado el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que la denunciante tuviese acceso a los datos personales de la titular de la cuenta en la que figuraba en la condicione de apoderada o autorizada. VI De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: "La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley". En el caso analizado, se ha producido por BANKIA una vulneración del deber de secreto al permitir el acceso por la denunciante tanto a los datos de carácter personal como a los datos de la cuenta bancaria del titular de la misma, en la que por error figuraba como autorizada. Es por ello, que la conducta imputada a BANKIA, como responsable del fichero, supone la vulneración del artículo 10 de la LOPD, que encuentra su tipificación en el tipo del citado artículo 44.3.d). VII En segundo lugar, se imputa a BANKIA en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Y en el apartado 4 de dicho artículo determina que: "Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16". En el presente caso, consta acreditado que BANKIA ha tratado los datos de la denunciante de manera inexacta y sin que respondiera con veracidad a su situación actual (en aquel momento), en relación con la cuenta bancaria nº ***CCC.1, cuyo titular era una tercera persona ajena a la denunciante, asociando y vinculando la citada cuenta a los datos personales de la denunciante y en la que figuraba en calidad de autorizada. Esta asociación permitió a la denunciante acceder a la página web de la oficina de internet, de la entidad financiera y visualizar (también imprimir) tanto los datos de carácter personal de su titular, como los datos bancarios relacionados con la cuenta: saldo, extractos, movimientos (con expresión de fechas, descripción, importes, etc.). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 La Audiencia Nacional, en Sentencia de fecha 16/01/2008, manifestaba: "Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso -artículo 44.3.
5. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos personales que iba a tratar no cumplían con los requisitos legalmente impuestos, si tenemos en cuenta que la actividad de la recurrente, por su propia naturaleza, ha de tener un cumplido conocimiento, y un escrupuloso respeto, de las normas en materia de protección de datos cuando en su actividad ordinaria se produce un manejo masivo de los mismos. Y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la naturaleza de los datos personales a los que se tiene acceso es una circunstancia que ha de hacerse previamente y de modo riguroso antes de proceder al tratamiento de los mismos, pues se trata de la salvaguarda de un derecho fundamental, el derecho a la protección de los datos previstos en l. Artículo 18.4 de la Constitución." Por tanto, de conformidad con el artículo 4.3 de la LOPD, correspondía a BANKIA adoptar las medidas necesarias para que la situación acaecida no se produjera. Este comportamiento supone una vulneración del principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, de la que BANKIA debe responder por ser responsable de la veracidad y exactitud los datos sujetos a su tratamiento. VIII El "tratamiento" de datos personales exige que se lleve a cabo de conformidad con los principios de "calidad de los datos", es decir, que los datos tratados han de ser "exactos y puestos al día", requisitos que no se han cumplido en el caso analizado. En este sentido, la Audiencia Nacional ha declarado en numerosas sentencias, entre otras la de fecha 13/03/2009, que señala: "El principio de calidad del dato, como esta Sala ha reiterado en numerosísimas ocasiones, se infringe no solo cuando se facilitan los datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias (Art. 4.3 LOPD en relación con el artículo 29 de la misma) sino también cuando los datos existentes en los propios ficheros de la entidad acreedora son inexactos y no actuales. La resolución de la Agencia impugnada, en su fundamentación jurídica, considera que ha quedado acreditado que Jazztel giró facturas correspondientes a un número de teléfono por unos servicios que, si bien se habían solicitado por el denunciante, no se habían prestado por la operadora. Los datos personales referidos al denunciante que figuraban en sus ficheros dejan de ser exactos en el momento en que figuran en ellos datos de servicios no prestados e importes no debidos realmente. Después de advertirlo, siguieron siendo inexactos los datos reclamándole el pago de facturas por ese servicio no prestado. Y esos datos inexactos son comunicados a la empresa de impagados para que realice su actuación". Por lo tanto, ha quedado acreditado que el tratamiento de los datos inexactos de la denunciante realizado por parte del BANKIA, no respondía con veracidad a la situación de aquella, incurriendo por ello en una vulneración del principio de calidad de datos recogido en el artículo 4.3 de la LOPD, que encuentra su tipificación en el artículo 44.3.
6. c)de la citada Ley Orgánica IX C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 El artículo 44.3.
7. c)de la LOPD considera infracción grave: "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. BANKIA ha incurrido en la infracción grave descrita al tratar datos inexactos y no veraces de la denunciante en relación con la cuenta nº ***CCC.1 cuyo titular (B.B.B. con DNI ***DNI.2 ) nada tenía que ver con la denunciante y en la que figuraba como autorizada, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. X El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: "En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida." En tal caso, y siempre que no exista regulación específica para resolver dicho concurso ideal de infracciones, se aplicaría la técnica jurídica penal propia del concurso ideal de delitos. (STS de 9 de junio de 1999 y de 10 de marzo de 2003). El precepto anterior exige una necesaria derivación de una infracción/es respecto de otra/s y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión contenida en el precepto de que "una infracción derive necesariamente la comisión de otra u otras". Pues bien, en el presente caso BANKIA trato los datos de la denunciante de manera inexacta, datos de los que es responsable de conformidad con el artículo 3.
8. d)de la LOPD, asociándolos a una cuenta bancaria que no le correspondía en calidad de autorizada lo que provocaba que pudiera acceder vía web, oficina internet, tanto a los datos personales como bancarios de la titular de dicha cuenta, lo que comporta una vulneración tanto del artículo 4.3 como del artículo 10 de la LOPD, siendo medio para cometer esta última infracción, la infracción del principio de calidad del dato. Es decir, no puede disgregarse una infracción respecto de la otra, pues si los datos no hubieran sido tratados de manera inexacta no se habría producido la vulneración del deber de secreto. A falta de regulación específica, la solución dada por la jurisprudencia contencioso-administrativa, basándose en las previsiones del Código Penal, es la de imponer la sanción correspondiente a la infracción más grave. No obstante lo anterior, en atención a que ambas infracciones son tipificadas de igual gravedad, se impone la sanción por la comisión de una, en este caso, por la infracción del principio de calidad del dato, consagrado en el artículo 4.3 de la LOPD. XI El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". BANKIA ha solicitado la aplicación del artículo 45.5 de la LOPD sobre la base del reconocimiento de la responsabilidad en los hechos ocurridos y la actuación diligente en cuanto tuvo conocimiento de los hechos. Hay que señalar que el apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En el caso presente, de las actuaciones practicadas ha quedado acreditado que BANKIA vulneró el artículo 4.3 y 10 de la LOPD, en su condición de responsable del tratamiento al tratar datos inexactos y no veraces de la denunciante en relación con la cuenta nº ***CCC.1 cuyo titular era una tercera persona ajena (B.B.B. con DNI ***DNI.2 ) y que nada nada tenía que ver con la misma, asociando a la citada cuenta sus datos personales en la que figuraba en calidad de autorizada. Esta circunstancia provocó que los datos personales y bancarios de la titular de la cuenta pudieran ser visualizados por la denunciante accediendo a la página web de la entidad, área de clientes, de manera tal que podía acceder tanto a los datos de carácter personal de la titular, como a los datos relacionados con la cuenta bancaria: saldo, extractos, movimientos (con expresión de fechas, descripción, importes, etc.), por lo que su actuación ha de ser objeto de sanción. La propia entidad ha reconocido su responsabilidad en los hechos ocurridos señalando, además, “Que una vez recibió esta entidad las referida denuncia y realizadas las comprobaciones oportunas, constató mediante el acceso a los registros que figuraban en la base de datos de la esta entidad que se había producido una incidencia y que esta radicaba en que el lugar de seleccionar al cliente que debiera haber sido autorizado desde un primer momento, se seleccionó al segundo (la denunciante). Todo ello debido a que ambos clientes tenían idéntico nombre y apellidos por lo que se incluyó como autorizada de la citada cuenta al cliente equivocado”. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido a la concurrencia de las circunstancias previstas en los apartados
24. d)“Cuando el infractor haya reconocido espontáneamente su culpabilidad”, pues así lo ha reconocido BANKIA en escrito de fecha 18/12/2015 y,
25. b)"Cuando la entidad infractora haya regularizado la situación irregular de forma diligente" ya que BANKIA tan pronto como tuvo conocimiento de los hechos a través de la comunicación de la denunciante de fecha 24/02/2014, procedió el 27/02/2014 a dar de baja a la denunciante como autorizada en dicha cuenta y el alta a la persona que apoderada o autorizada que debió seleccionar en su momento (folios ), permitiendo establecer una sanción de "la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
26. c)"la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal", pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidad denunciad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
27. d)"volumen de negocio o actividad del infractor", toda vez que se trata de una de las mayores operadores de telefonía del país por volumen de negocio. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 10.000 €, por la infracción del artículo 4.3 de la LOPD, de la que BANKIA debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 PRIMERO: IMPONER a BANKIA, S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
28. c)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: EXONERAR a BANKIA, S.A., por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
29. d)de dicha norma. TERCERO: NOTIFICAR la presente resolución a BANKIA, S.A., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es