1/12 Procedimiento Nº PS/00707/2013 RESOLUCIÓN: R/01335/2014 En el procedimiento sancionador PS/00707/2013, instruido por la Agencia Española de Protección de Datos a la entidad BANCO DE SABADELL, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29/01/2013, tuvo entrada en esta Agencia un escrito de DÑA. A.A.A. (en lo sucesivo la denunciante) en el que denuncia la imposibilidad de obtener acceso a BS Online de la entidad Banco de Sabadell, S.A. (en lo sucesivo BANCO SABADELL) sin tener que aceptar el tratamiento y cesión de datos personales para comunicaciones comerciales del banco o de cualquier otra entidad. Aporta impresión de correo electrónico que remitió a la entidad bancaria, de fecha 30/11/2012, indicando que la contratación del servicio “CAM Directo” le obligan a admitir en las condiciones de contratación que esa entidad pueda facilitar sus datos personales a empresas del grupo para remitirle publicidad. Aporta, asimismo, impresiones del registro de acceso a BS online (SabadellCAM), de 21/01/2013, que muestra como para continuar el proceso de registro se hace necesario aceptar las condiciones de tratamiento y cesión de datos personales. En estas impresiones de pantalla se aprecia que en los términos y condiciones de protección de datos incluidos en el registro de usuario para el acceso a BS Online (SabadellCAM) se indica que se autoriza al tratamiento de datos personales para fines publicitarios, tanto de publicidad de la entidad como de otras entidades de determinados sectores, así como la cesión de los datos a empresas del grupo. No obstante se indica que se podrá revocar en cualquier momento la autorización concedida tanto para el tratamiento como la cesión, así como ejercitar los derechos ARCO. En la página de registro se incluye una casilla que el usuario puede marcar con la siguiente indicación: “He leído y autorizo el tratamiento y cesión de los datos personales en las términos indicados y el alta del contrato de banca a distancia”. También aporta copia de un correo electrónico de la misma fecha, en el que se le invita a registrarse en el servicio BS Online como cliente del Banco CAM integrado dentro del Banco de Sabadell SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO SABADELL. Con fecha 07/06/2013 dicha entidad informó lo siguiente: “Les facilitamos la información solicitada en el mismo orden en que nos ha sido formulada, si bien previamente debemos informarles que Banco Cam, S.A.U., entidad a la que fue traspasado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 negocio bancario de la Caja de Ahorros del Mediterráneo, fue intervenido por el FROB dentro del proceso de reestructuración bancaria. Posteriormente, y a través de un proceso público, Banco Cam, S.A.U. fue adjudicado a Banco de Sabadell, S.A., procediéndose a la fusión de ambas entidades el pasado día 3 de diciembre de 2012, siendo Banco Cam, S.A.U. absorbido por Banco de Sabadell, S.A. 1.- La documentación que Vds. nos acompañan con su escrito se refiere al 30 de noviembre de 2012, fecha anterior a la fusión de Banco Cam, S.A.U. y Banco de Sabadell, S.A. Como se ha mencionado anteriormente, la fusión se produjo el 3 de diciembre de 2012, por lo que a partir de dicha fecha la situación planteada por la denunciante se encontraba dentro de las cuestiones a regularizar y/o modificar respecto de la operativa que constaba en el servicio de banca a distancia. Como consecuencia de ello, podemos informarles que a fecha de hoy, dicha situación ya se encuentra regularizada, por lo que les adjuntamos impresión de pantalla en la que puede observarse que el cliente no debe autorizar circunstancia distinta a lo que son las condiciones generales del contrato de Banca a Distancia. 2.- Salvo error u omisión, no se ha localizado en los archivos de Banco Cam, S.A.U. la contestación que en su día se pudiere haber realizado a la afectada, sin perjuicio de que seguimos en su búsqueda. De resultar positiva la misma se le facilitaría dicha comunicación. Sin perjuicio de ello, debemos informarles que se ha constatado que en la información traspasada en el momento de la fusión, la denunciante ya constaba incorporada en los archivos como persona que no desea que sus datos personales sean cedidos a terceros, por lo que se dio cumplimiento a lo solicitado por la cliente.” Aporta impresión de pantalla del proceso de registro a BS Online (SabadellCAM), misma pantalla aportada por la denunciante, observándose que en el pie de la misma ya no figura “He leído y autorizo en tratamiento y cesión de los datos personales…”, sino “He leído y acepto las condiciones generales de contrato de banca a distancia” TERCERO: Con fecha 17/01/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO SABADELL, por la presunta infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 15 del Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 euros a 40.000 euros, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANCO SABADELL presentó escrito de alegaciones en el que manifestó lo siguiente: 1. Concurre en los hechos la circunstancia ya conocida por la AEPD de que las entidades Banco Cam, S.A.U. y Banco de Sabadell, S.A. se fusionaron en fecha 3 de diciembre de 2012. Resulta pues, que dentro del citado proceso de fusión se estaba procediendo a regularizar y/o modificar la operativa del servicio de Banco a Distancia de Banco Cam, S.A.U. para ajustarlo a los procesos de Banco de Sabadell, S.A. Es tal la realidad de que se estaba procediendo a regularizar la situación objeto de denuncia, que a la fecha en que se dio oportuna respuesta a la solicitud de información realizada por la AEPD, el 7 de junio de 2013, que la misma ya se encontraba regularizada. Debe tenerse en cuenta además, que en el presente caso la cliente pudo perfectamente obviar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 concesión de la autorización de tratamiento de datos que se le solicitaba telemáticamente, mediante envío de un correo electrónico (folio 3 del expediente) exponiendo su negativa a facilitar sus datos para fines comerciales o publicitarios. Tal como se manifestó en escrito de fecha 7 de junio de 2013 (folio 13 del expediente), se pudo constatar que en la información traspasada de Banco Cam, S.A.U. como consecuencia de la fusión, la denunciante ya constaba incorporada en los archivos como persona que no desea recibir publicidad y que sus datos sean cedidos a terceros, por lo que se dio oportuno cumplimiento a lo solicitado por la cliente. Por todo ello se considera que no se impidió a la clienta que ejerciera el derecho reconocido en el artículo 15 del RLOPD. Consta también aportado por la propia denunciante con su escrito de denuncia, impresión obtenida del sistema telemático (folio 5 del expediente) en el que se le informa adecuadamente de la finalidad de la recogida de sus datos, así como de la facultad que le confiere la normativa de protección de datos de revocar en cualquier momento la autorización concedida para el tratamiento y cesión de datos, así como ejercitar los derechos de acceso, rectificación, oposición y cancelación, informándole de que puede ejercitar dichos derechos ante el propio Banco, como responsable del fichero, en el domicilio que figura en el documento o a través de cualquiera de las oficinas abiertas al público. Se entiende pues, que se habría cumplido perfectamente con lo dispuesto en el artículo 5 de la LOPD ya que se facilitó a la clienta toda la información exigida por dicho artículo. 2. A la vista de los hechos acontecidos, no cabe imputar la comisión de la infracción contenida en el acuerdo de inicio de procedimiento sancionador. Es más, resultaría que la misma se encontraría enmarcada dentro del proceso de fusión de Banco Cam. S.A.U. y Banco de Sabadell, S.A. y, por tanto, excluida de responsabilidad sin perjuicio, además, que en los hechos se informó debidamente a la cliente del motivo de la recogida de datos y los derechos que le asistían de conformidad con lo dispuesto en el artículo 5 de la LOPD. Tampoco se imposibilitó a la clienta que se negara a marcar la casilla - tal como efectivamente no realizó - pudiendo mostrar su negativa mediante la remisión de un correo electrónico, siendo atendido el mismo. En razón pues de lo expuesto en el punto anterior, resultaría que la imputación formulada a mi representado quebrantaría uno de los principios básicos del derecho sancionador cual es el principio de responsabilidad. Efectivamente, concurre en el presente caso que la supuesta infracción habría sido cometida por Banco Cam, S.A.U., ya que como consta en el expediente la supuesta infracción se habría cometido en fecha 30 de noviembre de 2012, habiéndose fusionado Banco Cam, S.A. y Banco de Sabadell, S.A. en fecha 3 de diciembre de 2013. Por tanto, entiende esta parte que con la apertura del presente expediente sancionador se está pretendiendo traspasar la responsabilidad de la supuesta infracción cometida por Banco Cam, S.A.U. a BANCO SABADELL, sin respetarse el principio fundamental del derecho sancionador cual es el de la personalidad de la pena. A tal efecto debe mencionarse la sentencia de la Audiencia Nacional de fecha 30 de junio de 2010 (en la que se citan otras) en la que se recoge la doctrina de la intransmisibilidad de las sanciones de la sociedad absorbida a la absorbente en supuestos de fusión por absorción. 3. Subsidiariamente, solicita la imposición de una multa por el importe mínimo establecido, en atención a las circunstancias concurrentes y a la naturaleza de los derechos personales afectados:
- a)La infracción denunciada se habría cometido en el marco de un proceso de fusión y, en todo caso, con anterioridad a dicho proceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12
- b)Falta de intencionalidad e inexistencia de un carácter continuado de la infracción.
- c)Ausencia de beneficios.
- d)BANCO SABADELL tiene implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción, en su caso, cometida por Banco Cam, S.A.U.
- e)Regularización diligente de la situación irregular. QUINTO: Con fecha 10/04/2014, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANCO SABADELL, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01775/2013. Asimismo, se dieron por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio PS/00707/2013 presentadas por la citada entidad. Por otra parte, el instructor del procedimiento acordó incorporar a las actuaciones copia impresa del formulario insertado, a fecha 10/04/2014, en el sitio web “bancsabadell.com” para el alta en la “Banca a Distancia” de la entidad BANCO SABADELL. Dicho formulario contiene, entre otras, una casilla habilitada para que el usuario autorice el tratamiento y cesión de sus datos personales, y otra para que acepte la información previa y las condiciones generales del servicio de banca a distancia. En la página correspondiente a dicho formulario se incluye un enlace a los documentos “Condiciones generales del servicio de Banca a Distancia” e “información previa y condiciones del contrato del servicio de Banca a Distancia”, que igualmente se incorporan al expediente. SEXTO: Con fecha 14/05/2014, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad BANCO SABADELL con multa de 1.300 euros (mil trescientos euros), por la infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.c), y de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad BANCO SABADELL en el que reitera sus alegaciones anteriores y solicita el archivo del procedimiento o, subsidiariamente, la imposición de una multa por el importe mínimo previsto para las infracciones leves considerando las circunstancias previstas en el artículo 45.4 de la LOPD y, en concreto, la ausencia de beneficios y la existencia de procedimientos adecuados en la recogida y tratamientos de datos anteriores a la infracción, que deberán añadirse a las consideradas en la propuesta de resolución. HECHOS PROBADOS 1. Con fecha 21/01/2013, el formulario habilitado por la entidad BANCO SABADELL en la web de su titularidad sabadellcam.com para el registro de los de acceso a la banca online “BS online (SabadellCAM)”, exigía, para completar el proceso de registro, aceptar las condiciones de tratamiento y cesión de datos personales. En dicha página de registro se incluía una casilla que el usuario debía marcar con la siguiente indicación: “He leído y autorizo el tratamiento y cesión de los datos personales en las términos indicados y el alta del contrato de banca a distancia”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Con ello, según los términos y condiciones de protección de datos incluidos en el registro de usuario, el cliente interesado en acceder a la banca online autorizaba necesariamente a BANCO SABADELL el tratamiento de datos personales para fines publicitarios, tanto de publicidad de la entidad como de otras entidades de determinados sectores, así como la cesión de los datos a empresas del grupo. Asimismo, se indicaba que el usuario podría revocar en cualquier momento la autorización concedida tanto para el tratamiento como la cesión, así como ejercitar los derechos ARCO. 2. Con fecha 07/06/2013 dicha entidad informó sobre las modificaciones introducidas en el proceso de registro de acceso a “BS online (SabadellCAM)”, señalando que el cliente no está obligado a “autorizar circunstancia distinta a lo que son las condiciones generales del contrato de Banca a Distancia”. En el formulario de recogida de datos aportado se incluye una casilla con la indicación “He leído y acepto las condiciones generales de contrato de banca a distancia”. 3. Con fecha 10/04/2014, por la inspección de datos se comprueba que el formulario habilitado por BANCO SABADELL para el alta en la “Banca a Distancia” de la entidad contiene, entre otras, una casilla habilitada para que el usuario autorice el tratamiento y cesión de sus datos personales (“He leído y por ello autorizo al tratamiento y cesión de los datos personales en los términos indicados”), y otra casilla para que acepte la información previa y las condiciones generales del servicio de banca a distancia (“He leído y por ello acepto la información previa y las condiciones generales del servicio de banca a distancia”). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Procede en primer lugar contestar las alegaciones de BANCO SABADELL según las cuales la infracción contenida en el acuerdo de inicio de procedimiento sancionador se enmarca dentro del proceso de fusión de Banco Cam, S.A.U. y aquella entidad, que queda, por tanto, excluida de responsabilidad. Sin embargo, a este respecto, cabe señalar que, por virtud del proceso de fusión de ambas entidades, desaparecida la entidad Banco Cam, S.A.U., corresponde a BANCO SABADELL, como sucesora universal de los derechos y obligaciones, responder por las infracciones que hubiese podido cometer su antecesora. Así lo ha reconocido la Audiencia Nacional en su sentencia de 27 de diciembre de 2013, respecto al procedimiento 372/2012 dictada respecto a un caso similar cuando dice: <<“CUARTO.- … se fusionaron mediante la absorción de la segunda entidad por la primera. Por ello, se ha vulnerado el principio de responsabilidad personal de las sanciones. El Tribunal Supremo ha declarado al respecto en la Sentencia de 20 de septiembre de 1996 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 -recurso n°. 3.606/1991- que: «En el Derecho administrativo sancionador las personas jurídicas pueden ser responsables de los ilícitos administrativos -en la actualidad, tal posibilidad tiene el reconocimiento general que otorga el art. 130 de la Ley de Procedimiento Administrativo Común (LRJ y PAC), Ley 30/1992-, y ello es una singularidad en el Derecho administrativo sancionador del requisito "nulla poena sine culpa", en cuanto supone un reconocimiento modulado de la "capacidad de culpabilidad" de las personas jurídica, que ha tenido una amplia y generalizada admisión normativa y jurisprudencial (SSTS 13 de marzo de 1985, 30 de junio de 1987, 30 de noviembre de 1987 y4de abril de 1988, entre otras muchas), sin perjuicio de que, al mismo tiempo, se establezcan, en determinados supuestos, responsabilidades solidarias o subsidiarias de personas físicas, como administradores o en cuanto adoptaron los acuerdos sociales que hicieron posibles las infracciones administrativas. Ahora bien, en cualquier caso, es distinto el régimen de transmisibilidad de las sanciones administrativas en el supuesto de disolución de la persona jurídica sancionada que cuando se trata de la muerte o fallecimiento de la persona física sancionada. En el primer caso, en el momento de la disolución el haber social responde de las sanciones (art. 235 C. de Co, 277 LSA EDL1989/15265,120 LRL), y Estas forman parte del pasivo transmitido a los socios, sin que ello pueda entenderse contrario al principio de responsabilidad personal que se asienta sobre una concepción de la culpabilidad no trasladable a las personas jurídicas, ya que en estas se produce una modulación del principio derivado de la distinción conceptual entre autoría y responsabilidad, obligadas por exigencias de su propia naturaleza a actuar por medio de personas físicas y en contemplación ultima de intereses de estas. Admitida, por tanto, la responsabilidad de las personas jurídicas en el ámbito administrativo sancionador, en términos distintos de los que derivan de las exigencias de la culpabilidad penal según el principio de "societas delinquere non potest", nada impide la transmisión de dicha responsabilidad a quienes perciben su patrimonio en proporción al mismo y con independencia de su participación en el ilícito. Y también, como ha señalado esta Sala, es acorde con los principios del derecho punitivo, el que el infractor de una norma no pueda por su sola voluntad eludir que se haga efectiva la responsabilidad, como sucedería, por ejemplo, si las personas jurídicas en el ámbito del ejercicio de sus facultades pudieran a través de un proceso de fusión, absorción, sustitución o sucesión voluntaria dejar sin efecto unas determinadas sanciones (STS de 18 de abril de 1994)>>. En todo caso, los hechos analizados en el presente procedimiento sancionador, según consta reseñado en los Hechos Probados, tuvieron lugar con posterioridad a la formalización de la fusión de ambas entidades en diciembre de 2012 y en el sitio web de BANCO SABADELL. Por lo tanto, dicha alegación debe ser desestimada, si bien, en el presente caso, las circunstancias alegadas serán tomadas en consideración como atenuantes en la reducción de la sanción. III De conformidad con lo dispuesto en el artículo 2 de la LOPD dicha norma “será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
- a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. A su vez, el artículo 3 de la LOPD, en su apartado c), define como tratamiento de datos, las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento en su artículo 43, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso, BANCO SABADELL resulta responsable del tratamiento automatizado de datos personales derivado de la recogida, conservación y utilización de los datos personales facilitados a través de la web vía web de su titularidad sabadellcam.com por los clientes que se registran como usuarios de la banca online “BS online (SabadellCAM)”, y ello coloca a BANCO SABADELL en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. IV Se imputa a la entidad denunciada BANCO SABADELL una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban…” Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad BANCO SABADELL debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. En el caso que nos ocupa se ha podido comprobar que la entidad BANCO SABADELL incumple lo dispuesto en el art. 5.1 LOPD en relación con el artículo 15 del RD 1720/2007, en la medida en que se ha podido comprobar que, al menos hasta junio de 2013, el formulario habilitado por la misma en la web de su titularidad “sabadellcam.com” para el registro de los de acceso a la banca online “BS online (SabadellCAM)” exigía, para completar el proceso de registro, aceptar las condiciones de tratamiento y cesión de datos personales (tratamiento de datos personales con fines publicitarios, tanto de publicidad de la entidad como de otras entidades de determinados sectores, y cesión de los datos a empresas del grupo), sin ofrecer la posibilidad de mostrar su negativa en el momento en que se recaban los datos. En concreto, en dicha página de registro se incluía una casilla que el usuario debía marcar con la siguiente indicación: “He leído y autorizo el tratamiento y cesión de los datos personales en las términos indicados y el alta del contrato de banca a distancia”. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, al señalar la misma lo siguiente: “no basta con informar en el catalogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 destinatario de la mercancía, como así hizo el denunciante”. La obligación de ofrecer la posibilidad de oponerse a los tratamientos de cesiones de datos personales antes indicadas se establece para el momento de la recogida de los datos o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. Por tanto, la indicación a la que se refiere BANCO SABADELL en sus alegaciones, sobre la posibilidad de los afectados de remitir un correo electrónico exponiendo su negativa a facilitar sus datos con fines comerciales o publicitarios y las cesiones de datos no resulta suficiente para entender cumplidas las exigencias normativas reseñadas. V El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad BANCO SABADELL ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, en el sentido expresado en los Fundamentos de Derecho anteriores, por lo que debe considerarse que ha incurrido en la infracción leve descrita. VI El artículo 45.1, 2, 4 y 5 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y, en especial, considerando la ausencia de intencionalidad, la regularización llevada a cabo por la imputada retirando la casilla controvertida del formulario de registro en la banca online, la incidencia que pudo tener en la comisión de la infracción el proceso de fusión de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 las entidades BANCO SABADELL y Banco Cam, S.A.U., procede la imposición de una multa por importe de 1.300 euros. No cabe estimar la solicitud formulada por BANCO SABADELL para que se imponga una sanción por el importe mínimo previsto para las infracciones leves considerando la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos y que pretenden operar a través de Internet. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO DE SABADELL, S.A., por una infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de dicha norma, una multa de 1.300 euros (mil trescientos euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BANCO DE SABADELL, S.A. y a DÑA. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es