PS-00733-2013

1/8 Procedimiento Nº PS/00733/2013 RESOLUCIÓN: R/01173/2014 En el procedimiento sancionador PS/00733/2013, instruido por la Agencia Española de Protección de Datos a la entidad CITIBANK ESPAÑA, S.A.., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30/01/2013 tiene entrada en esta Agencia un escrito de B.B.B. en el que declara: <<- Persona física titular de una tarjeta de crédito VISA emitida por la entidad Citibank España. - En Agosto de 2012 se solicita, por medio de burofax, la baja de la tarjeta y la cancelación de todos mis datos personales. - A finales de agosto de 2012 se recibe, remitida por Citibank España y por medio de carta certificada, la confirmación de la baja de datos personales solicitada. - En enero de 2013, varios meses después de haber recibido la confirmación de la baja en su sistema, se recibe un correo electrónico remitido por Citibank España donde se me informa de un posible nuevo extracto (hecho que contradice su confirmación de baja en datos personales - Posteriormente, en el mismo mes de enero, accedo sin problema alguno a la página web de control que esta entidad me tenía asignada y donde se comprueba que a pesar de no tener ya tarjeta de crédito en esa entidad, el usuario continúa de alta en su sistema en contra de lo solicitado.>> Aporta copia de la siguiente documentación: - Burofax certificado de fecha 20/8/2012 remitido por el denunciante a CITIBANK por medio del cual solicita la cancelación de su tarjeta de crédito y de cualquier otra anexa al contrato, así como el ejercicio del derecho de cancelación. - Escrito de fecha 30/8/2012 por el que CITIBANK da respuesta a la solicitud de cancelación formulada por el denunciante. - Correo electrónico de fecha 22/1/2013 emitido desde la cuenta C.C.C.@citibank.es con destino a la cuenta B.B.B.@ B.B.B..com por el que se informa al denunciante que el último extracto de su tarjeta de crédito ya está disponible en Citibank Online. - Impresión de un acceso a la plataforma de banca electrónica Citibank Online en la que se da la bienvenida al usuario y se informa que el último acceso fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 realizado en fecha 22/1/2013, si bien figura que el resumen de cuentas está temporalmente no disponible. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CITIBANK ESPAÑA, S.A.., teniendo conocimiento de que: 1. Solicitada información a CITIBANK la entidad manifiesta: <<Primero: El derecho de cancelación ejercido por el denunciante fue, efectivamente atendido, con fecha 30 de agosto de 2012, tal y como consta por escrito que adjuntan al propio requerimiento de información. Segundo: Los datos referentes a las operaciones y productos bancarios contratados fueron dados de baja, de conformidad con lo que exige la legislación en materia de protección de datos, así como se le excluyo de cualquier campaña de marketing. Tercero: La cancelación de datos personales efectuada en los sistemas de Citibank España SA, se realiza por fases y en varios sistemas informáticos: La primera de ellas, es el bloqueo de datos en el sistema de clientes de la Entidad, con las excepciones no obstante que establece la propia legislación en materia de protección de datos. Este bloqueo de datos se traduce en la imposibilidad de consulta de datos personales por parte de la mayoría de empleados de la Entidad bancaria y del propio titular si accede por teléfono o banca electrónica. La segunda de las fases, es el bloqueo de datos a efectos de envío de campañas de marketing. Por último, y una vez no existen datos personales accesibles, se produce la cancelación de los accesos en los sistemas de banca on line. En el caso que nos ocupa, el denunciante aporta copia de un acceso por él realizado, unos meses después de la carta de estimación de su derecho de cancelación, a la banca on-line de Citibank, acceso que no le permite consultar ninguna posición bancaria ni datos personales de ningún tipo PUESTO QUE YA HABÍAN SIDO CANCELADOS: En el resumen de cuentas EL MENSAJE QUE APARECE ES: “Feature temporarily unavailable”. Aporta, igualmente, junto con su denuncia, un mensaje electrónico tipo de la Entidad, poniendo en su conocimiento que un nuevo contrato -que no publicidadestá a su disposición accediendo a la banca on -line. A la vista de estos hechos, resulta que: 1º) El propio denunciante no ha podido acceder a sus datos personales a través de la Banca on line, el mensaje que aparece es “Feature Temporarily unavailable“. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 2°) No aporta publicidad de ningún tipo, únicamente un correo electrónico recibido unos meses después, poniendo en su conocimiento que hay un nuevo contrato /reglamento de tarjeta a su disposición. Por lo tanto, de la documentación aportada con la denuncia la única conclusión es que, en enero de 2013, únicamente estaba pendiente de bloqueo efectivo la dirección de e mail, dado que, como se ha expuesto, la cancelación de datos se realiza en varias fases, siendo ésta la última de ellas.>> TERCERO: Con fecha 20/12/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CITIBANK ESPAÑA, S.A.. por una infracción del artículo 16.4 de la Ley Orgánica 15/1999, de 13/12 de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. e)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 20/01/2014, la denunciada alega: 1) Solo la dirección de e mail del denunciante fue cancelada después de los diez días. Sin embargo el denunciante en la Banca on line no pudo acceder a sus datos personales, pues habían sido cancelados, y solo aportó copia de un correo que contenía un mensaje genérico sin más datos personales. 2) Declaran al mismo tiempo que reconocen voluntariamente el hecho. Solicita se imponga una sanción aplicando el artículo 45.5 de la LOPD como en los casos del PS/00388/2009, 297/2011, PS/00562/2010 o PS/00439/2007. QUINTO: Con fecha 11/04/2014 se emitió propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se sancione a CITIBANK ESPAÑA, S.A.. con multa de 12.000 €, por la infracción del artículo 16.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. e)de dicha norma.” SEXTO: Transcurrido el plazo otorgado, no se recibieron alegaciones. HECHOS PROBADOS 1) El denunciante ejercitó su derecho de cancelación de datos ante CITIBANK ESPAÑA SA mediante burofax de 20/08/2012. En el comunicado solicita respecto a su tarjeta de crédito que identifica, cualquier otra anexa a su contrato, y de “cualquier dato sobre mi persona”. La denunciada respondió el 30/08/2012 “en el que nos solicitaba cancelación de todos sus datos personales…”Hemos procedido a la cancelación total de sus datos en nuestros ficheros”. “Hemos procedido igualmente a darle de baja de nuestros ficheros de Marketing, esto implica que en adelante no recibirá publicidad escrita o telefónica” (1, 3 a 7). 2) El denunciante denuncia que el 22/01/2013 la denunciada le ha remitido, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 aporta copia, a su dirección electrónica B.B.B.@ B.B.B..com un comunicado en el que le informan de que “El último extracto de tu tarjeta de crédito esta ya disponible en “Citibank on line” con usuario y contraseña. El mensaje procede de la dirección C.C.C.@citibank.com (8, 9,10) a las 5 h 40. 3) También, el denunciante denuncia que pese a la aceptación de la cancelación, puede acceder a Citibank on line, donde figura:“Bienvenido a CITBANK Online ***NOMBRE.1. Tú última sesión de Citibank Online fue realizada el 22/01/2013 a las 15: 23”, y “La última vez que cambiaste la contraseña de CITIBANK fue el día 28/04/2010”, en “Resumen de cuentas” consta “No disponible”, según copia impresa que aporta. (1, 7, 11). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 16 de la LOPD dispone: “Derecho de rectificación y cancelación 1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación.” En el caso que nos ocupa, si bien se iniciaba la infracción por artículo 16.4, se debe reconducir al artículo 16.1 en el que la conducta de la denunciada se ajusta plenamente, así se define la infracción de modo procedimental “El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. Se debe acudir para la definición de que es cancelación al artículo 5.
4. b)del Real Decreto 1720/2007, de 21/12, por el que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 aprueba el reglamento de desarrollo de la LOPD, (RLOPD) que indica: “Cancelación: Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos” La finalidad del derecho de cancelación es la recuperación de la autodeterminación informativa recuperando los datos con la plena disponibilidad para el interesado. No obstante ante la petición de cancelación, siempre se pueden formular razonamientos legales que se opongan a dicha cancelación. En este caso, no se denegó la petición del denunciante, y se accedió a la misma. Pese a que el artículo 16 señale la cancelación de datos inexactos o incompletos, también puede ser solicitada respecto a datos exactos y veraces como una especie de revocación del consentimiento de los datos proporcionados. Como consecuencia supone el cese en el tratamiento de dichos datos. Si bien la respuesta al derecho al denunciante se produjo en el plazo legalmente establecido, se ha acreditado la inefectividad del derecho en una doble vertiente. Por un lado, se conservó la dirección de correo electrónico del denunciante que le identifica como se demuestra porque el denunciante recibió dicho correo incluyendo parte de los datos que en su día proporcionó a la denunciada. Por otro, siendo posible todavía, que concatenando usuario y contraseña, accede, más de cuatro meses después de otorgada la cancelación a su cuenta on line, lo que evidencia que sus datos siguen tratándose en el sistema informático. Al acceder, no accede a un espacio común sino a uno particular en el que queda identificado como lo acredita el mensaje de bienvenida. Por tanto de ambas formas se acredita la no cancelación de los datos. III El artículo 44.3.
5. e)de la LOPD tipifica como infracción grave, “El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición” En el presente caso la conducta de la denunciada se incardina en el citado tipo infractor por cuando si bien nominalmente cumple en plazo a que obliga la norma, materialmente se acredita que no es así, suponiendo ello el impedir alcanzar la cancelación total de sus datos. En cuanto a las alegaciones efectuadas, carece de sentido la cancelación periódica o por plazos, pues esta se ha de llevar a cabo en un solo acto para todos los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 IV El artículo 45 de la LOPD, en sus apartados 1, 2, 4 a 5, establece, “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Solicita la denunciada que en base a reconocer los hechos, se aplique el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 45.5 de la LOPD, y en concreto su párrafo d). La Sentencia de 21/01/2004 de la Audiencia Nacional dijo que dicho 45.5 “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión <especialmente cualificada>) y concretos”. En este caso, el tratamiento de datos no tiene consecuencias fuera de las partes afectadas, y los perjuicios no han sido cualificados, limitándose a una fecha concreta, no perdurando después, habiendo reconocido la denunciada los hechos, por lo que se aplica el artículo 45.5 de la LOPD. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, que la infracción no ha sido con carácter permanente, se impone una sanción de 12.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CITIBANK ESPAÑA, S.A.., por una infracción del artículo 16.1 de la LOPD, tipificada como grave en el artículo 44.3.
21. e)de dicha norma, una multa de 12.000 €, de conformidad con lo establecido en el artículo 45.1,2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. CITIBANK ESPAÑA, S.A.. y a TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es