1/9 Procedimiento nº.: E/03684/2015 ASUNTO: Recurso de Reposición Nº RR/00189/2016 Examinado el recurso de reposición interpuesto por la Asociación de Consumidores y Usuarios en Acción - FACUA contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/03684/2015 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 23 de febrero de 2016 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/03684/2015, procediéndose al archivo de actuaciones al no apreciarse en los hechos objeto de la denuncia infracción de la normativa de protección de datos de carácter personal. Dicha resolución fue notificada a la Asociación de Consumidores y Usuarios en Acción - FACUA en fecha 1 de marzo de 2016, como lo acredita el acuse de recibo del Servicio de Correos que obra en el expediente. SEGUNDO: La Asociación de Consumidores y Usuarios en Acción - FACUA (en lo sucesivo, la recurrente o FACUA) ha presentado recurso de reposición en fecha 9 de marzo de 2016, que ha tenido entrada en el Registro de la Agencia Española de Protección de Datos el 15 de marzo de 2016, en el que en esencia reitera los argumentos expuestos en su denuncia. Esto es, que las preguntas que CAJAMAR incluye en el formulario que envía a sus clientes y que éstos tienen que cumplimentar vulnera el artículo 7 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), lo que constituye una infracción grave tipificada en su artículo 44.3.b, pues las preguntas sobre la actividad política que una persona puede haber desempeñado o sobre la vinculación de un familiar o allegado del cliente con una persona que ejerza este tipo de actividad no pueden ampararse en el artículo 14 de la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo. Solicita también en el recurso que si la AEPD entiende que la expresión “alguna actividad política” empleada en el cuestionario por CAJAMAR no es susceptible de iniciar un procedimiento sancionador contra dicha entidad “en coherencia con la propia calificación que desde esa Agencia se realiza de la expresión referida, se pudiera optar por exigir al GRUPO COOPERATIVO CAJAS RURALES UNIDAS (CAJAMAR) que cesaran en la inclusión de la misma en los requerimientos de información personal que realizan a sus clientes conforme a la Ley 10/2010 conforme al artículo 37.1.
- f)de la Ley Orgánica 15/1999”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Debemos comenzar indicando que el expediente de actuaciones de investigación previa E/03684/2015, en el que se dictó la resolución impugnada, se siguió a raíz de varias denuncias presentadas en la Agencia por los mismos hechos -el formulario que han de cumplimentar los clientes de CAJAMAR- por dos personas físicas y por FACUA, actuando en este caso la Asociación como titular de un interés legítimo colectivo al amparo del artículo 31.2 de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), precepto que dispone: “Las asociaciones y organizaciones representativas de intereses económicos y sociales serán titulares de intereses legítimos colectivos en los términos que la Ley reconozca” Así pues, en tanto FACUA, en el presente asunto como titular de un interés legítimo, en particular un interés colectivo, estimamos que está legitimada para interponer el presente recurso de reposición. III Las cuestiones planteadas por la recurrente acerca de si las preguntas incluidas en el cuestionario que han de cumplimentar los clientes de CAJAMAR están amparadas en la Ley 10/2010 y si la expresión utilizada - “alguna actividad política”- pudiera vulnerar el artículo 7 de la LOPD, fueron resueltas en la resolución impugnada Fundamentos de Derecho II, III y IV- a los que nos remitimos: << II Es obligado hacer mención, en primer término, a la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo que traspuso al ordenamiento interno la Directiva 2005/60/CE del Parlamento Europeo y del Consejo que, a su vez, fue desarrolla por la Directiva 2006/70/CE, si bien ambas han sido derogadas con efectos 26/06/2017 en virtud del artículo 66 de la Directiva UE 2015/849 del Parlamento Europeo y del Consejo. La Ley 10/2010 tiene por “objeto la protección de la integridad del sistema financiero y de otros sectores de actividad económica mediante el establecimiento de obligaciones de prevención del blanqueo de capitales y de la financiación del terrorismo” (artículo 1). Entre los sujetos obligados al cumplimiento de las obligaciones impuestas por la citada Ley (artículo 2.
- a)figuran las entidades de crédito. Las “medidas normales de diligencia debida” que en cumplimiento de la Ley 10/2010 han de adoptar las entidades de crédito, entre ellas y por lo que aquí interesa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 CAJAMAR, comprenden el deber de identificar a cuantas personas físicas o jurídicas pretendan establecer relaciones de negocio o intervenir en cualesquiera operaciones con ella, con la prohibición expresa de establecer relaciones o intervenir en cualquier operación con personas que no hayan sido identificadas (artículo 3); la obligación de identificar al titular real; la aplicación de medidas de seguimiento continuo de la relación de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de dicha relación a fin de garantizar que coincidan con el conocimiento que tenga el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el origen de los fondos y garantizar que los documentos, datos e información de que se disponga estén actualizados (artículo 6). También están obligadas a adoptar las medidas de diligencia debida respecto a quienes ya eran clientes en la fecha de entrada en vigor de la Ley, a cuyo efecto la Disposición Transitoria séptima otorgó un plazo máximo de cinco años contados desde su entrada en vigor para la adopción de dichas medidas. La Ley 10/2010 exige además que las entidades de crédito estén en condiciones de demostrar a las autoridades competentes que las medidas adoptadas tienen el alcance adecuado en vista del riesgo de blanqueo de capitales o de financiación del terrorismo mediante un previo análisis de riesgo que, en todo caso, deberá constar por escrito. Junto a las medidas normales de diligencia debida la Ley 10/2010 exige a los sujetos obligados, esto es, a CAJAMAR, que se adopten medidas reforzadas de diligencia debida en aquellos supuestos que están expresamente previstos en la sección 2ª del Capítulo II y en aquellos otros que, por presentar un alto riesgo de blanqueo de capitales o de financiación del terrorismo, se determinen reglamentariamente. Pues bien, en ese contexto hay que situar el artículo 14 de la Ley 10/2010 que indica que “1. Los sujetos obligados aplicarán las medidas reforzadas de diligencia debida previstas en este artículo en las relaciones de negocio u operaciones de personas con responsabilidad pública.” La expresión “personas con responsabilidad pública” que emplea la Ley se corresponde con la de “personas del medio político” que utiliza la Directiva 2006/70/CE, y cuyo concepto se desarrolla en la norma comunitaria. La Ley citada concreta quiénes tienen la consideración de “personas con responsabilidad pública” por lo que la inclusión o no de una persona en esta categoría fijada en ella. Así, el artículo 14.1. de la Ley dice que “Se considerarán personas con responsabilidad pública las siguientes: (…)
- b)Aquellas que desempeñen o hayan desempeñado funciones públicas importantes en el Estado español, tales como los altos cargos de acuerdo con lo dispuesto en la normativa en materia de conflictos de intereses de la Administración General del Estado; los parlamentarios nacionales y del Parlamento Europeo; los magistrados del Tribunal Supremo y Tribunal Constitucional, con inclusión de los miembros equivalentes del Ministerio Fiscal; los consejeros del Tribunal de Cuentas y del Banco de España; los embajadores y encargados de negocios; el alto personal militar de las Fuerzas Armadas; y los directores, directores adjuntos y miembros del consejo de administración, o función equivalente, de una organización internacional, con inclusión de la Unión Europea.
- c)Asimismo, tendrán la consideración de personas con responsabilidad pública aquellas que desempeñen o hayan desempeñado funciones públicas importantes en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 ámbito autonómico español, como los Presidentes y los Consejeros y demás miembros de los Consejos de Gobierno, así como los altos cargos y los diputados autonómicos y, en el ámbito local español, los alcaldes, concejales y demás altos cargos de los municipios capitales de provincia o de capital de Comunidad Autónoma de las Entidades Locales de más de 50.000 habitantes, o cargos de alta dirección en organizaciones sindicales o empresariales o partidos políticos españoles. Ninguna de estas categorías incluirá empleados públicos de niveles intermedios o inferiores.” (El subrayado es de la AEPD) Paralelamente, el punto 4 del artículo 14 de la Ley 10/2010 obliga expresamente a las entidades de crédito a adoptar las medidas reforzadas de diligencia debida en relación a los familiares y allegados de las “personas con responsabilidad pública” y, al igual que hizo con esta categoría de personas, hace una enumeración cerrada de quiénes tienen a estos efectos la consideración de familiares o allegados: “4. Los sujetos obligados aplicarán las medidas establecidas en los dos apartados anteriores a los familiares y allegados de las personas con responsabilidad pública. A los efectos de este artículo tendrá la consideración de familiar el cónyuge o la persona ligada de forma estable por análoga relación de afectividad, así como los padres e hijos, y los cónyuges o personas ligadas a los hijos de forma estable por análoga relación de afectividad. Se considerará allegado toda persona física de la que sea notorio que ostente la titularidad o el control de un instrumento o persona jurídicos conjuntamente con una persona con responsabilidad pública, o que mantenga otro tipo de relaciones empresariales estrechas con la misma, o que ostente la titularidad o el control de un instrumento o persona jurídicos que notoriamente se haya constituido en beneficio de la misma.” III El artículo 4 de la LOPD proclama el principio de calidad de los datos y dispone en su apartado 1: “Los datos de carácter personal solo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos, en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El artículo 6 de la LOPD, “Consentimiento del afectado”, establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Precepto que debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
- h)de la Ley Orgánica 15/1999: “ cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Conforme al citado precepto el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. Entre los supuestos en los que se dispensa de la obligación de recabar el consentimiento del titular para el tratamiento de sus datos el apartado 2 del artículo 6 incluye los datos que se “refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”. El artículo 7 de la LOPD, “Datos especialmente protegidos”, indica: “1. De acuerdo con lo establecido en el apartado 2 del artículo 16 de la CE nadie podrá ser obligado a declarar sobre su ideología, religión o creencias. Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se advertirá al interesado acerca de su derecho a no prestarlo. 2. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias. Se exceptúan los ficheros mantenidos por los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisará siempre el previo consentimiento del afectado. 3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. 4. Quedan prohibidos los ficheros creados con la finalidad exclusiva de almacenar datos de carácter personal que revelen la ideología, afiliación sindical, religión, creencias, origen racial o étnico, o vida sexual.(….)” IV Las denuncias que examinamos versan sobre la presunta infracción de la normativa de protección de datos en la que habría incurrido CAJAMAR al solicitar a sus clientes, a través de un cuestionario que éstos han de cumplimentar y firmar, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 información acerca de si han desempeñado en los dos últimos años “alguna actividad pública” o si son “familiares o allegados” de alguien en dicha situación, exigiendo en caso afirmativo que detallen el cargo desempeñado y la población. Las preguntas que CAJAMAR hace a sus clientes en el formulario que se denuncia tienen su razón de ser en la obligación que la Ley 10/2010 impone a las entidades de crédito de adoptar medidas de diligencia debida, tanto normales como reforzadas, en la prevención del blanqueo de capitales y la financiación del terrorismo. En particular y por lo que aquí interesa el artículo 14.1 de la Ley obliga a que adopten medidas reforzadas de diligencia en las relaciones con “personas de responsabilidad pública” y el artículo 14.4 les obliga a adoptar estas medidas respecto a los familiares y allegados de aquellos. CAJAMAR ha manifestado en el escrito remitido a la AEPD que la información solicitada “es exclusivamente la relativa a si se había desempeñado en los dos últimos año o desempeñaba en ese momento funciones públicas importantes o si era un familiar o allegado de alguien en dicha situación, ambas circunstancias en los términos del artículo 14 de la citada ley. Ese plazo de dos años lo fija el apartado 7 del artículo 14 de la ley, al determinar que cuando las personas contempladas en los apartados precedentes del artículo hayan dejado de desempeñar sus funciones, los sujetos obligados continuarán aplicando las medidas previstas en el artículo por un periodo de dos años.” Añadir también que la pregunta que incluye el cuestionario de la entidad financiera no implica que el cliente facilite información sobre su ideología o creencias, pues la información solicitada se limita al cargo desempeñado y a la población y porque la identidad de las personas que ocupan aquellos cargos públicos a los que se hace referencia en el artículo 14.1.
- b)y
- c)de la Ley 10/2010 que tengan relevancia política es una información de dominio público a la que puede accederse a través de medios de comunicación e incluso diarios oficiales, esto es, fuentes de acceso público (ex artículo 3.
- j)Así pues, las preguntas que CAJAMAR hace a sus clientes a través del mencionado formulario no vulneran el artículo 4.1 de la LOPD, pues los datos recabados son pertinentes, adecuados y no excesivos en relación con la finalidad que se persigue: el cumplimiento por la entidad de crédito de las obligaciones que derivan de la Ley 10/2010. El formulario que CAJAMAR envió a sus clientes -cuya copia obra en el expediente remitido por FACUA- finalizaba exigiendo la firma de éstos. Iba precedida inmediatamente de un párrafo que indicaba, entre otras cuestiones, que con la firma del documento el cliente declaraba que eran veraces todos los datos, información y documentación proporcionada y que quedaba informado por la entidad de que ésta se reservaba el derecho, en caso de no atender las peticiones de información y documentación que le permitieran cumplir las obligaciones que en materia de prevención del blanqueo de capitales le impone la Ley 10/2010, a cancelar sus posiciones. Resulta por ello que CAJAMAR, a través del documento que está en el origen de las denuncias que examinamos, recaba de sus clientes el consentimiento expreso y por escrito -previa información en los términos del artículo 5 de la LOPD que se ofrece en el ante pie de firma del documento- para tratar los datos de carácter personal que por ese medio les ha solicitado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Igualmente indicar, a propósito de la supuesta “amenaza” de CAJAMAR de bloquear las cuentas del cliente que no cumplimente el formulario -lo que podría llevar a pensar que el consentimiento prestado por el cliente no era “libre”- que no existe amenaza ni coacción de ningún tipo por parte de la entidad denunciada pues se ha limitado a informar de lo que es un “efecto jurídico” expresamente contemplado en el artículo 7.3 de la Ley 10/2010. Así, el artículo 7.3 de la Ley 10/2010 prohíbe a las entidades financieras establecer relaciones contractuales o ejecutar operaciones si no han podido aplicar las medidas de diligencia debida que se detallan en ella y con ese objetivo las habilita a resolver el contrato con el cliente que por su negativa a facilitar información o documentación impida que puedan dar cumplimiento a las obligaciones que le impone la Ley, sin que el bloqueo o la cancelación de las cuentas de un cliente genere a favor de éste el derecho a exigir responsabilidad a la entidad de crédito, con la excepción de que hubiera mediado enriquecimiento injusto por su parte. El artículo 7.3. dispone: “3. Los sujetos obligados no establecerán relaciones de negocio ni ejecutarán operaciones cuando no puedan aplicar las medidas de diligencia debida previstas en esta Ley. Cuando se aprecie la imposibilidad en el curso de la relación de negocios, los sujetos obligados pondrán fin a la misma, procediendo a realizar el examen especial a que se refiere el artículo 17. La negativa a establecer relaciones de negocio o a ejecutar operaciones o la terminación de la relación de negocios por imposibilidad de aplicar las medidas de diligencia debida previstas en esta Ley no conllevará, salvo que medie enriquecimiento injusto, ningún tipo de responsabilidad para los sujetos obligados” (El subrayado es de la AEPD) En definitiva, el hecho de que CAJAMAR haya enviado a sus clientes, en cumplimiento de la Ley 10/2010, un documento como el que ha sido objeto de examen en esta resolución no vulnera la LOPD. Los datos que eventualmente se recojan y traten por la entidad denunciada por medio del formulario son respetuosos con el principio de pertinencia (artículo 4.1 LOPD). Además, el tratamiento de los datos personales que los clientes le hubieran facilitado a través de aquél cuenta con el consentimiento expreso, por escrito e informado del titular, por lo que el tratamiento que haga de ellos es respetuoso con los artículos 7 y 6 de la LOPD. Dicho lo anterior, si bien este organismo entiende que la pregunta que CAJAMAR hace a sus clientes resulta adecuada en relación con la finalidad para la que se recaba la información, estima también que la expresión empleada -“alguna actividad política”es excesivamente genérica siendo aconsejable que se ciña a los términos del artículo 14.1 de la Ley 10/2010. En atención a las consideraciones precedentes y toda vez que no se aprecia en los hechos que se denuncian infracción de la normativa de protección de datos de carácter personal, se acuerda el archivo de las actuaciones de investigación practicadas>> La recurrente añade que, el hecho de que la AEPD reitere en la resolución del recurso que la expresión “alguna actividad política” no vulnera la LOPD, no impide que, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 en congruencia con la calificación que ha hecho de tal expresión “pudiera optar por exigir” a CAJAMAR que cese en la inclusión de dicha expresión en los requerimientos de información personal que hace a sus clientes “conforme al artículo 37.1.
- f)de la Ley Orgánica 15/1999”. La LOPD establece en el artículo 37.1: “Son funciones de la Agencia Española de Protección de Datos: (…)
- f)Requerir a los responsables y encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesión de los tratamiento y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. (El subrayado es de la AEPD) Sobre este particular basta señalar que los hechos denunciados no son constitutivos de infracción y que en la resolución impugnada la Agencia “aconsejó” a CAJAMAR el empleo de una expresión menos genérica que la que viene utilizando y que fuera más ajustada a los términos del artículo 14.1 de la Ley 10/2010. Señalar también que dicha resolución se dictó sin más trámite que la práctica de actuaciones de investigación y sin que la AEPD optara por formular el requerimiento previsto en el artículo 37.1.f, de la LOPD, por lo que no procede exigir a la denunciada el cumplimiento de lo aconsejado por la Agencia, sobre todo si se tiene en cuenta que como se ha indicado anteriormente los hechos no son constitutivos de infracción. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Asociación de Consumidores y Usuarios en Acción – FACUA contra la resolución de esta Agencia dictada con fecha 23 de febrero de 2016, en el expediente de actuaciones previas de inspección E/03684/2015. SEGUNDO: NOTIFICAR la presente resolución a la Asociación de Consumidores y Usuarios en Acción – FACUA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es